Das Wichtigste in 1 Minute
- Eine Regel, die Werkzeuge einzeln aufführt, kennt nur die Werkzeuge, die es bei ihrem Beschluss gab. Ein KI-Update der Fachsoftware, die Einführung von Microsoft 365 Copilot, private Konten trotz Regel oder eine Nachfrage der Mitarbeitervertretung (je nach Träger Betriebsrat, Personalrat oder kirchliche Vertretung) sind Anlässe, die KI-Richtlinie zu prüfen.
- Zehn Fragen zeigen, ob die Regel im Alltag noch trägt: von der Werkzeugliste über den Freigabeweg (wer eine neue Funktion prüft, bevor sie genutzt wird) und die Prüfung vor der Akte bis zum Prüftermin. Jede Antwort „weiß nicht“ ist ein Befund.
- Die Datenschutz-Grundverordnung verlangt ein Verfahren, das die Schutzmaßnahmen wiederkehrend überprüft, nennt aber wie die KI-Verordnung keine feste Frist. Die Datenschutzkonferenz rät, bei Updates und technischen Entwicklungen zu prüfen, ob die internen Vorgaben angepasst werden müssen.
- Am Ende steht ein kurzer Prüfbericht mit Befund und Änderungsvorschlag je Frage. Beschließen muss die Leitung, bei einer Dienst- oder Betriebsvereinbarung gemeinsam mit der Vertretung; die Mitarbeitervertretung sollte die neue Fassung kennen, bevor sie gilt.
KI-Richtlinie ist kein Rechtsbegriff, sondern der Alltagsname für die interne Weisung eines Trägers, die festlegt, ob, unter welchen Voraussetzungen und zu welchen Zwecken welche KI-Anwendungen eingesetzt werden dürfen. Die Datenschutzkonferenz (DSK), das Gremium der Datenschutzaufsichtsbehörden von Bund und Ländern, hält dafür eine Dienstanweisung oder eine Dienst- oder Betriebsvereinbarung für geeignet (Orientierungshilfe Künstliche Intelligenz und Datenschutz, Randnummer (Rn.) 36 und 37).
Prüfen heißt hier nicht, den Text juristisch zu bewerten. Gemeint ist der Abgleich der Regel mit dem, was im Alltag geschieht: welche Werkzeuge laufen, wer Ergebnisse prüft, wer etwas freigibt und wer davon weiß. Das gilt für eine selbst geschriebene Dienstanweisung wie für ein übernommenes Muster, in der Pflege wie in Eingliederungshilfe, Jugendhilfe, Beratung oder Wohnungslosenhilfe.
Fünf Anlässe, bei denen sich die Prüfung lohnt
Eine Regel, die vor dem ersten KI-Update der Fachsoftware beschlossen wurde, kann dieses Update nicht kennen.
- Per Update kommt eine KI-Funktion in die Fachsoftware. Angeboten wird etwa, Verläufe zusammenzufassen, die Werkzeugliste nennt aber nur Chat-Dienste. Wie eine Leitung über die Freischaltung entscheidet, beschreibt der Beitrag zur KI-Funktion in der Fachsoftware.
- Copilot oder ein anderer Assistent wird eingeführt. Damit kommt ein Werkzeug hinzu, das die Regel zulassen, begrenzen oder ausschließen muss. Was vorher zu klären ist, behandelt der Beitrag zu Microsoft 365 Copilot bei sozialen Trägern.
- Jemand nutzt private KI-Konten für die Arbeit. Der Digitalverband Bitkom befragte im Sommer 2025 604 Unternehmen ab 20 Beschäftigten in Deutschland; soziale Träger weist die Studie nicht gesondert aus. Acht Prozent sagten, die Nutzung generativer KI, die das Unternehmen nicht bereitstellt, sei bei ihnen weit verbreitet, weitere 17 Prozent sahen Einzelfälle. Ob eine Regel bestand, fragt die Studie an dieser Stelle nicht.
- Die Mitarbeitervertretung fragt nach. Gemeint sind Betriebsrat, Mitarbeitervertretung (katholisch), Mitarbeitendenvertretung (evangelisch) und Personalrat. Fragt die Vertretung, welche KI läuft und was mit Beschäftigtendaten geschieht, braucht die Leitung eine Antwort, die zur Regel passt.
- Der erste Prüftermin steht an. Eine Regel aus dem Jahr 2024 oder 2025 erreicht jetzt ihre erste Überprüfung, sofern ein Termin festgelegt wurde. Fehlt er, ist die Prüfung der Anlass, ihn zu setzen.
Zehn Fragen an die KI-Richtlinie
Als Muster für die Leitungsrunde hält die Tabelle je Frage einen Prüfweg, ein Merkmal einer tragfähigen Regel und ein Warnzeichen fest. Beantworten Sie jede Frage mit „trägt“, „trägt teilweise“ oder „weiß nicht“. Die Spalten sind Anhaltspunkte, keine gesetzlichen Vorgaben.
| Frage | So prüfen Sie es | Die Regel trägt, wenn | Warnzeichen |
|---|---|---|---|
| 1. Deckt die Werkzeugliste ab, was die Teams nutzen, auch KI-Funktionen der Fachsoftware? | Liste neben eine anonyme Kurzabfrage in den Teams und die Versionshinweise der Fachsoftware legen. | Jedes genutzte Werkzeug ist zugelassen, begrenzt oder ausgeschlossen, KI-Funktionen der Fachsoftware eingeschlossen. | Die Liste nennt nur Chat-Dienste. Ob die Fachsoftware Texte vorschlägt, weiß niemand. |
| 2. Wer prüft eine neue KI-Funktion vor der Nutzung, auch wenn sie mit einem Update kommt? | Den Weg des letzten Updates nachgehen: Wer hat die Versionshinweise gelesen, wer hat entschieden? | Eine benannte Stelle prüft Vertrag, Verarbeitungsort und neue Dienstleister, die Leitung entscheidet; bis dahin bleibt die Funktion aus. | Die Freigabe gilt nur für neue Programme, Updates spielt die IT ungeprüft ein. |
| 3. Regelt die Richtlinie, welche Daten in welches Werkzeug dürfen, statt nur Produkte zu verbieten? | Drei Alltagsaufgaben durchspielen, etwa Informationsblatt, Verlaufseintrag und Dienstplan. | Für jede Aufgabe ist ablesbar, welche Daten wohin dürfen; Gesundheitsdaten und anvertraute Angaben haben eine eigene, enge Regel. | Ein Produkt ist verboten, zu Klientendaten steht nichts. Namen wegzulassen gilt ohne weitere Prüfung als ausreichend. |
| 4. Schließt die Regel private KI-Konten aus und bietet sie eine dienstliche Alternative? | In der Kurzabfrage auch nach privaten Konten fragen. | Private Konten sind für dienstliche Daten ausgeschlossen, für erlaubte Aufgaben stellt der Träger Werkzeug und Konto. | Ein Verbot ohne Alternative, dessen Einhaltung seit dem Beschluss niemand erfragt hat. |
| 5. Prüft ein Mensch jedes KI-Ergebnis mit Personenbezug, bevor es in die Akte, an Klientinnen und Klienten oder an eine Behörde geht? | An einem Bericht nachvollziehen, wer den Entwurf geprüft hat und ob das vermerkt ist. | Die Regel sagt, wer prüft und worauf; die prüfende Fachkraft darf vom Entwurf abweichen und hat Zeit dafür. | „Ergebnisse sind zu prüfen“ ohne Zuständigkeit. |
| 6. Passt die Schulung zu den Rollen, von der Leitung bis zur Verwaltung? | Teilnahmelisten neben die Rollen legen, die mit KI arbeiten oder über sie entscheiden, auch bei Personen im Auftrag des Trägers. | Grundlagen für alle, Vertiefung für Rollen mit Freigabe- oder Prüfaufgaben und ein Nachweis; neue Beschäftigte sind eingeplant. | Eine Veranstaltung beim Beschluss, danach keine mehr. |
| 7. Legt die Richtlinie fest, wann KI-Inhalte gekennzeichnet werden, nach außen und in der Akte? | Website, Newsletter, Informationsblätter und Aktenvermerke durchsehen. | Die Regel trennt, was das Gesetz verlangt, von dem, was der Träger zusätzlich festlegt. | Keine Aussage zur Kennzeichnung oder eine Pauschalregel, die niemand einhält. |
| 8. Wissen Beschäftigte, wohin sie einen Fehler melden, etwa Klientendaten im falschen Werkzeug? | In zwei Teams nach dem Weg fragen und mit dem Meldeweg für Datenpannen vergleichen. | Ein Meldeweg ist benannt, an den Weg für Datenpannen angebunden und ohne Schuldzuweisung beschrieben. | Meldungen bleiben bei der Führungskraft, niemand prüft auf eine Datenpanne. |
| 9. Sind die Rollen verteilt, ohne dass der Datenschutzbeauftragte eigene Entscheidungen überwacht? | Rollen der Richtlinie mit der tatsächlichen Verteilung vergleichen: Wer beschließt, koordiniert, berät, beschafft? | Die Leitung entscheidet, eine KI-Ansprechperson (im Haus zuständig für Anfragen und Updates) koordiniert, der Datenschutzbeauftragte berät und gibt nichts frei. | Der Datenschutzbeauftragte wählt die Werkzeuge aus und gibt sie frei. |
| 10. Nennt die Regel einen Prüftermin und kennt die Mitarbeitervertretung die geltende Fassung? | Termin und Anlässe für eine Prüfung außer der Reihe suchen, letzte Unterrichtung der Vertretung nachsehen. | Ein fester Termin (etwa jährlich) und benannte Anlässe; die Vertretung erhält Änderungen, bevor sie gelten. | Kein Termin. Die Vertretung kennt nur die erste Fassung. |
Eine Zeile aus dem Prüfbericht, als Muster
Je Frage hält ein Prüfbericht Befund und Änderungsvorschlag fest. Die Zeile in der Tabelle ist frei gewählt und beschreibt keinen realen Träger; sie zeigt, wie konkret ein Befund sein sollte, damit die Leitung darüber entscheiden kann.
| Frage | Befund | Änderungsvorschlag |
|---|---|---|
| 2. Wer prüft eine neue KI-Funktion vor der Nutzung, auch wenn sie mit einem Update kommt? | Trägt teilweise. Die Richtlinie lässt drei Chat-Dienste mit Namen zu und verlangt für neue Programme eine Freigabe der Geschäftsführung. Für neue Funktionen in vorhandener Software nennt sie keinen Weg. Die Versionshinweise der Fachsoftware kündigen eine Funktion zum Zusammenfassen von Verläufen an; ob sie eingeschaltet ist, geht aus den Unterlagen nicht hervor. | Freigabeweg auf neue KI-Funktionen in vorhandener Software erweitern. Versionshinweise gehen an die KI-Ansprechperson. Neue Funktionen bleiben aus, bis Vertrag, Ort der Verarbeitung und weitere Dienstleister geprüft sind und die Geschäftsführung entschieden hat, möglichst vor dem nächsten Update. Die angekündigte Funktion in die Werkzeugliste aufnehmen (Frage 1). |
In der Leitungsrunde wird jede Zeile übernommen, geändert oder bewusst verworfen; Verworfenes bleibt mit Begründung im Bericht, damit die nächste Prüfung daran anknüpfen kann.
Vom Anlass zum Beschluss in sechs Schritten
Für die Prüfung genügt eine kleine Runde aus Leitung, Datenschutz- oder Qualitätskoordination und, beratend, dem Datenschutzbeauftragten.
- Halten Sie Anlass und Fassung fest. Welche Fassung gilt, wer hat sie wann beschlossen und was hat die Prüfung ausgelöst? Diese Angaben stehen oben im Prüfbericht.
- Legen Sie die Unterlagen zusammen. Richtlinie oder Dienstanweisung, Werkzeugliste, Versionshinweise der Fachsoftware seit dem Beschluss, Teilnahmelisten der Schulungen und die letzte Information an die Mitarbeitervertretung.
- Erheben Sie die tatsächliche Nutzung. Eine kurze, anonyme Abfrage in den Teams zeigt, welche Werkzeuge für welche Aufgaben laufen, auch über private Konten; wie sie sich aufbauen lässt, beschreibt der Beitrag zur Frage, welche KI das Team nutzt. Die Mitarbeitervertretung erfährt vorher Zweck und Fragen; ob die Abfrage selbst beteiligungspflichtig ist, hängt vom Träger ab.
- Gehen Sie die zehn Fragen durch. Je Frage genügen eine Einstufung und ein Satz, worauf sie sich stützt.
- Formulieren und gewichten Sie die Änderungen. Zu jedem Befund gehört ein Vorschlag, wer ihn umsetzt und bis wann. Befunde zu Klientendaten und Fachsoftware stehen vorn, redaktionelle Änderungen können warten.
- Lassen Sie die Leitung beschließen und setzen Sie den nächsten Termin. Bei einer Dienst- oder Betriebsvereinbarung beschließt die Leitung gemeinsam mit der Vertretung. Die Mitarbeitervertretung erhält Änderungen schon im Entwurf, jedenfalls vor dem Inkrafttreten, die Teams eine kurze Erläuterung; der nächste Prüftermin steht in der Richtlinie.
Was hinter den Fragen steht
Gestützt sind die Fragen auf die Orientierungshilfe der DSK vom Mai 2024, die Datenschutz-Grundverordnung (DSGVO) und die KI-Verordnung der Europäischen Union (Verordnung (EU) 2024/1689). Katholische Träger wenden statt der DSGVO das Gesetz über den Kirchlichen Datenschutz (KDG) an, evangelische das Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD).
Werkzeugliste und Freigabeweg (Fragen 1 und 2)
Ob eine KI-Funktion der Fachsoftware rechtlich ein KI-System ist, entscheidet der Einzelfall (Art. 3 Nr. 1 KI-Verordnung); in die Werkzeugliste gehört sie trotzdem.
Auch für Updates sollte der Freigabeweg gelten, mit den Versionshinweisen des Herstellers als erster Quelle. Er klärt, ob ein weiterer Dienstleister hinzukommt und ob dafür eine schriftliche Genehmigung des Trägers vorliegt, für den Einzelfall oder allgemein (Art. 28 Abs. 2 DSGVO). Auf Informationen des Anbieters zur Funktionsweise ist der Träger für die Risikobewertung angewiesen; darauf soll er nach der DSK schon bei der Auswahl achten (Rn. 38 bis 40).
Datenklassen und private Konten (Fragen 3 und 4)
Ein Verbot mit Produktnamen veraltet mit dem nächsten Produkt. Tragfähiger ist eine Regel nach Datenklassen: was in ein frei zugängliches Werkzeug darf, was nur in ein Werkzeug mit Vertrag und was nur nach Einzelfreigabe der Leitung.
Namen und Anschriften zu entfernen schließt einen Personenbezug nicht sicher aus, weil er sich aus dem Zusammenhang ergeben kann (Rn. 49). Für Gesundheitsdaten gelten besondere Voraussetzungen (Art. 9 DSGVO). Eine kommentierte Vorlage bietet der Beitrag zu den Datenklassen für KI-Werkzeuge; zur Schweigepflicht nach § 203 Strafgesetzbuch gibt es den Beitrag zur Schweigepflicht bei IT, Cloud und KI.
Geräte und Konten für die dienstliche KI-Nutzung soll nach der DSK der Arbeitgeber stellen, weil mit privaten Accounts Profile der Beschäftigten entstehen können (Rn. 41). Was der Träger tun kann, wenn Beschäftigte ohne Freigabe private Konten nutzen, beschreibt der Beitrag zu Schatten-KI und privaten KI-Konten.
Prüfung vor der Akte und Schulung (Fragen 5 und 6)
Ergebnisse von KI-Anwendungen mit Personenbezug sind nach der DSK kritisch zu hinterfragen und vor der Weiterverarbeitung zu überprüfen (Rn. 64 und 65), denn personenbezogene Daten müssen sachlich richtig sein (Art. 5 Abs. 1 Buchst. d DSGVO). Was vor Spracherkennung und KI-Berichtsentwürfen zu klären ist, beschreibt der Beitrag zur KI in der Dokumentation.
Träger, die KI-Systeme in eigener Verantwortung beruflich verwenden, sind Betreiber (Art. 3 Nr. 4 KI-Verordnung). Als Betreiber müssen sie Maßnahmen ergreifen, die die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen unterstützen, die in ihrem Auftrag mit KI-Systemen befasst sind (Art. 4, in der Fassung der Digital-Omnibus-Verordnung zur KI, Verordnung (EU) 2026/1744, seit 27. Juli 2026). Ein bestimmtes Niveau muss der Träger für niemanden zusichern.
Welche Maßnahmen sich eignen, beschreibt der Beitrag zur KI-Kompetenz nach Art. 4. Zitiert eine Richtlinie noch die frühere Fassung von Art. 4, sollte die Stelle angepasst werden.
Kennzeichnung und Meldeweg (Fragen 7 und 8)
Bei Texten verlangt die KI-Verordnung von Betreibern eine Offenlegung nur für veröffentlichte KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen; nach menschlicher Prüfung unter redaktioneller Verantwortung entfällt sie (Art. 50 Abs. 4, gilt seit 2. August 2026). Einen Vermerk bei KI-Entwürfen in der Akte halte ich trotzdem für sinnvoll, als Regel des Trägers. Wann ein Träger nach außen kennzeichnen muss, klärt der Beitrag zur Kennzeichnung nach Art. 50.
Gelangen Klientendaten in ein Werkzeug ohne Vertrag, kann das eine Datenpanne sein, also eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO). Nicht jeder KI-Fehler ist eine Datenpanne, beurteilen kann das aber nur, wer davon erfährt. Deshalb sollte die Richtlinie auf den vorhandenen Meldeweg verweisen; was dort in den ersten 72 Stunden geschieht, beschreibt der Beitrag zur Datenpanne in der Einrichtung.
Rollen (Frage 9)
Der Datenschutzbeauftragte darf andere Aufgaben haben, wenn daraus kein Interessenkonflikt entsteht (Art. 38 Abs. 6 DSGVO). Nach dem Gerichtshof der Europäischen Union (EuGH) dürfen ihm keine Aufgaben übertragen werden, die ihn Zwecke und Mittel der Verarbeitung festlegen lassen; ob ein Konflikt vorliegt, ist im Einzelfall zu beurteilen (Urteil vom 9. Februar 2023, C-453/21, Rn. 44 und 45). Für kirchliche Träger gelten eigene Regeln (§ 37 Abs. 5 KDG, § 36 Abs. 4 DSG-EKD).
Nach meiner Einschätzung sollte deshalb nicht derselbe die Werkzeuge auswählen und freigeben, der als Datenschutzbeauftragter ihre Nutzung überwacht. Warum die Verantwortung bei der Leitung bleibt, beschreibt der Beitrag zur Verantwortung der Leitung.
Prüftermin und Vertretung (Frage 10)
Eine feste Prüffrist nennen weder die DSGVO noch Art. 4 der KI-Verordnung. Die DSGVO verlangt ein Verfahren, das die Schutzmaßnahmen wiederkehrend überprüft (Art. 32 Abs. 1 Buchst. d; entsprechend § 26 Abs. 1 KDG und § 27 Abs. 1 DSG-EKD). Außerdem rät die DSK, bei Updates und technischen Entwicklungen zu prüfen, ob die internen Vorgaben angepasst werden müssen (Rn. 47).
Mein Vorschlag ist ein Termin einmal im Jahr und eine Prüfung außer der Reihe bei jedem KI-Update der Fachsoftware, einem neuen Werkzeug, einem Vorfall oder einer neuen Rechtslage.
Den Betriebsrat muss der Arbeitgeber über die Planung des KI-Einsatzes rechtzeitig unterrichten (§ 90 Abs. 1 Nr. 3 Betriebsverfassungsgesetz, BetrVG). Im evangelischen Recht gelten das Kirchengesetz über die Mitarbeitendenvertretungen der EKD (MVG-EKD), im katholischen die Mitarbeitervertretungsordnung (MAVO), jeweils mit eigenen Informationspflichten (§ 34 Abs. 1 MVG-EKD, § 27 Abs. 1 MAVO).
Ob eine Änderung der Regel mitbestimmungspflichtig ist, hängt vom Rechtskreis und vom Inhalt der Änderung ab. Ein Anknüpfungspunkt ist etwa ein Werkzeug, das Verhalten oder Leistung von Beschäftigten überwachen kann; weitere nennt der Beitrag zur Mitbestimmung bei der KI-Einführung. Ist die Regel als Dienst- oder Betriebsvereinbarung gefasst, haben Leitung und Vertretung sie gemeinsam geschlossen (DSK, Rn. 37). Deshalb sollte eine Änderung mit der Vertretung abgestimmt werden.
Meine Empfehlung
Beginnen Sie mit den Fragen 1 und 2. Erst wenn feststeht, welche Werkzeuge im Alltag laufen und wie neue hinzukommen, lassen sich die übrigen acht Fragen belastbar beantworten.
Betreffen die Befunde einzelne Abschnitte, kann eine Ergänzung der bestehenden Regel genügen. Verbietet die Regel dagegen nur Produkte und kennt weder Datenklassen noch Freigabeweg, halte ich einen neuen Entwurf für tragfähiger als weitere Ergänzungen.
Wann reicht die eigene Prüfung nicht?
Die zehn Fragen ersetzen keine rechtliche Prüfung. Ob ein Werkzeug eine Datenschutz-Folgenabschätzung braucht, also eine vorab dokumentierte Bewertung der Risiken für die betroffenen Personen (Art. 35 DSGVO), lässt die Leitung mit dem Rat des Datenschutzbeauftragten, des Justiziariats oder der Rechtsberatung klären. Ob eine Änderung der Mitbestimmung unterliegt, ist eine Frage für die Rechtsberatung oder das Justiziariat.
Schwer wird die Selbstprüfung dort, wo Abstand fehlt. Bei einer Abfrage zu privaten Konten kann es helfen, wenn die Antworten nicht bei der eigenen Führungskraft landen. Neben dem laufenden Betrieb kostet es zudem Zeit, Versionshinweise, Teilnahmelisten und Rollen nebeneinanderzulegen.
Wer bei mehreren Fragen mit „weiß nicht“ antwortet, kann die Regel von jemandem abgleichen lassen, der sie nicht geschrieben hat. Möglich ist das mit der Prüfung einer bestehenden KI-Richtlinie: Regel und Nutzung werden in einem Leitungsgespräch abgeglichen, nach zwei bis drei Wochen liegt ein Prüfbericht mit Änderungsvorschlägen vor, ab 1.500 € für eine Einrichtung oder einen kleinen Träger unter 50 Beschäftigten. Ob eine Prüfung reicht oder die Richtlinie neu entwickelt werden sollte, klärt ein kostenfreies Erstgespräch.
Stand: 14. Oktober 2026. KI-Verordnung (EU) 2024/1689 in der Fassung der Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744), DSGVO, KDG (Beschluss vom 20. November 2017, geändert am 24. November 2025, Ausgabe des Bistums Hildesheim, in Kraft seit 1. März 2026), DSG-EKD (Neufassung vom 15. Januar 2025, geltend ab 1. Mai 2025), MAVO in der Fassung des Bistums Hildesheim vom 1. Januar 2018 (§ 27 Abs. 1 gleichlautend im Bistum Dresden-Meißen). Nicht geprüft wurden die Durchführungsverordnung zum KDG, das Landeskirchenrecht und das Personalvertretungsrecht der Länder; maßgeblich ist jeweils die Fassung des eigenen Bistums, der eigenen Landeskirche oder des eigenen Landes.
Fragen zur Prüfung einer KI-Richtlinie
Wann sollte eine KI-Richtlinie überprüft werden?
Eine feste Frist nennen weder die DSGVO noch Art. 4 der KI-Verordnung; die DSGVO verlangt aber ein Verfahren, das die Schutzmaßnahmen wiederkehrend überprüft (Art. 32 Abs. 1 Buchst. d). Die DSK sieht Updates und technische Entwicklungen als Anlass für eine Überprüfung. Als Vorschlag: einmal im Jahr und außer der Reihe bei jedem KI-Update der Fachsoftware, neuen Werkzeugen oder einem Vorfall.
Muss die KI-Richtlinie geändert werden, wenn die Fachsoftware eine KI-Funktion bekommt?
Das hängt davon ab, ob die Regel einen Weg für neue Funktionen in vorhandener Software kennt. Fehlt er, gehört er in die Richtlinie; bis zur Entscheidung sollte die Funktion ausgeschaltet bleiben. Wie eine Leitung über die Freischaltung entscheidet, beschreibt der Beitrag zur KI-Funktion in der Fachsoftware.
Verlangt Art. 4 der KI-Verordnung eine Schulung aller Beschäftigten?
Die KI-Verordnung verlangt Maßnahmen, die die Entwicklung der KI-Kompetenz des Personals und anderer im Auftrag tätiger Personen unterstützen, abgestimmt auf Kenntnisse, Erfahrung und Einsatzkontext (Art. 4); ein bestimmtes Niveau muss der Träger nicht zusichern. Eine Schulung ist eine mögliche Maßnahme, Leitfäden oder Gespräche können andere sein. Ein Zertifikat ist nach der Europäischen Kommission nicht nötig; auch standardisierte Trainings sind nach der Bundesnetzagentur nicht vorgeschrieben.
Muss die Mitarbeitervertretung einer geänderten KI-Richtlinie zustimmen?
Das hängt vom Rechtskreis und vom Inhalt der Änderung ab. Über die Planung des KI-Einsatzes muss der Arbeitgeber den Betriebsrat rechtzeitig unterrichten, MVG-EKD und MAVO kennen eigene Informationspflichten. Mitbestimmung kann hinzukommen, etwa wenn ein Werkzeug Verhalten oder Leistung von Beschäftigten überwachen kann; die Einzelheiten unterscheiden sich nach Rechtskreis.
Darf der Datenschutzbeauftragte die KI-Richtlinie selbst prüfen?
Der Datenschutzbeauftragte berät und überwacht; Aufgaben, die ihn Zwecke und Mittel der Verarbeitung festlegen lassen, können nach dem EuGH zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO, Urteil C-453/21). Hat er Werkzeuge ausgewählt oder freigegeben, sollte nach meiner Einschätzung eine andere Person prüfen, etwa die Qualitätskoordination oder jemand von außen, weil er sonst eigene Entscheidungen überwacht. Hat er die Regel nur zur Beschlussfassung entworfen, ist das aus meiner Sicht Beratung; ein zweiter Blick auf den Entwurf schafft trotzdem Abstand.
Quellen
- Europäische Union: Verordnung (EU) 2026/1744 vom 8. Juli 2026 zur Änderung der Verordnungen (EU) 2024/1689, (EU) 2018/1139 und (EU) 2023/1230 (Digital-Omnibus-Verordnung zur KI), Art. 1 Nr. 5 (Art. 4 neu) und Art. 4 (Inkrafttreten), ABl. L vom 24. Juli 2026. EUR-Lex, abgerufen am 14. Oktober 2026.
- Europäische Union: Verordnung (EU) 2024/1689 (KI-Verordnung), konsolidierte Fassung vom 27. Juli 2026, Art. 3 Nr. 1 und 4, Art. 4, 50 und 113. EUR-Lex, abgerufen am 14. Oktober 2026.
- Europäisches Parlament und Rat: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 4 Nr. 12, Art. 5 Abs. 1 Buchst. d, Art. 9 Abs. 1 und 2, Art. 28 Abs. 2, Art. 32 Abs. 1 Buchst. d, Art. 35 Abs. 1 und 2 und Art. 38 Abs. 6. EUR-Lex, abgerufen am 14. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK): Orientierungshilfe Künstliche Intelligenz und Datenschutz, Version 1.0 vom 6. Mai 2024, Rn. 36 bis 41, 47, 49, 64 und 65. datenschutzkonferenz-online.de, abgerufen am 14. Oktober 2026.
- Bundesnetzagentur: KI-Service Desk, Themenseite KI-Kompetenz. bundesnetzagentur.de, abgerufen am 14. Oktober 2026.
- Europäische Kommission, KI-Büro: AI Literacy. Questions and Answers, Stand 27. Juli 2026. digital-strategy.ec.europa.eu, abgerufen am 14. Oktober 2026.
- Gerichtshof der Europäischen Union: Urteil vom 9. Februar 2023, X-FAB Dresden, C-453/21, Rn. 44 und 45. EUR-Lex, abgerufen am 14. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Betriebsverfassungsgesetz (BetrVG), § 90 Abs. 1 Nr. 3. § 90 BetrVG auf gesetze-im-internet.de, abgerufen am 14. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Strafgesetzbuch (StGB), § 203 Abs. 1. gesetze-im-internet.de, abgerufen am 14. Oktober 2026.
- Evangelische Kirche in Deutschland: Kirchengesetz über die Mitarbeitendenvertretungen in der Evangelischen Kirche in Deutschland (MVG-EKD), § 34 Abs. 1. kirchenrecht-ekd.de, abgerufen am 14. Oktober 2026.
- Bistum Hildesheim: Mitarbeitervertretungsordnung für das Bistum Hildesheim (MAVO) in der Fassung vom 1. Januar 2018, § 27 Abs. 1. PDF des Bistums Hildesheim, abgerufen am 14. Oktober 2026.
- Bistum Dresden-Meißen: Mitarbeitervertretungsordnung für das Bistum Dresden-Meißen (MAVO 2018), § 27 Abs. 1. PDF der DiAG MAV Dresden-Meißen, abgerufen am 14. Oktober 2026.
- Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG) in der Fassung des Beschlusses vom 20. November 2017, zuletzt geändert am 24. November 2025, § 26 Abs. 1 und § 37 Abs. 5, veröffentlicht vom Bistum Hildesheim (in Kraft seit 1. März 2026). PDF des Bistums Hildesheim, abgerufen am 14. Oktober 2026.
- Evangelische Kirche in Deutschland: Datenschutzgesetz der EKD (DSG-EKD), Neufassung, bekannt gemacht am 15. Januar 2025, geltend ab 1. Mai 2025, § 27 Abs. 1 und § 36 Abs. 4. kirchenrecht-ekd.de, abgerufen am 14. Oktober 2026.
- Bitkom e. V.: Künstliche Intelligenz in Deutschland. Perspektiven aus Bevölkerung und Unternehmen, Studienbericht 2026 (Befragung von 604 Unternehmen in Deutschland mit mindestens 20 Beschäftigten, Kalenderwochen 27 bis 32 des Jahres 2025), S. 33. PDF des Bitkom, abgerufen am 14. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
