Das Wichtigste in Kürze
- Das Zehnte Buch Sozialgesetzbuch (SGB X) schützt im Zweiten Kapitel (§§ 67 bis 85a) Sozialdaten, also Daten, die Leistungsträger wie das Jugendamt für ihre Aufgaben verarbeiten. Grundlage ist das Sozialgeheimnis (§ 35 des Ersten Buches, SGB I): der Anspruch, dass sie diese Daten nicht unbefugt verarbeiten.
- Unmittelbar gebunden sind die Leistungsträger (Jugendamt, Sozialamt, Träger der Eingliederungshilfe, Pflegekasse) und die weiteren Stellen aus § 35 SGB I. Freie und kirchliche Träger stehen nicht als Gruppe in dieser Liste; Ausnahmen gelten für einzelne Dienste, etwa Integrationsfachdienste.
- Sozialdaten, die ein freier oder kirchlicher Träger von einem Leistungsträger erhält, darf er nur zum Übermittlungszweck verarbeiten und muss sie geheim halten (§ 78 SGB X). Stellen in privater Rechtsform müssen ihre Beschäftigten darauf hinweisen.
- Das SGB X ergänzt die Datenschutz-Grundverordnung (DSGVO) und ersetzt sie nicht. Selbst erhobene Daten schützen die DSGVO oder das kirchliche Datenschutzrecht; daneben gilt die Schweigepflicht nach § 203 Strafgesetzbuch (StGB).
- In der Jugendhilfe (Achtes Buch Sozialgesetzbuch, SGB VIII) ist beim Einsatz freier Träger ein Schutz „in entsprechender Weise“ sicherzustellen (§ 61 Abs. 3 SGB VIII).
SGB X steht für das Zehnte Buch Sozialgesetzbuch, „Sozialverwaltungsverfahren und Sozialdatenschutz“. Sein Erstes Kapitel regelt das Verwaltungsverfahren der Behörden, sein Zweites den Schutz von Sozialdaten. Sozialdaten sind personenbezogene Daten, die eine in § 35 SGB I genannte Stelle für ihre Aufgaben nach dem Sozialgesetzbuch verarbeitet (§ 67 Abs. 2 SGB X).
Das Zweite Kapitel legt fest, wann Leistungsträger, also die für Sozialleistungen zuständigen Körperschaften, Anstalten und Behörden (§ 12 SGB I), Sozialdaten erheben, nutzen und weitergeben dürfen.
Wen das Gesetz bindet und wen nicht
Entscheidend ist die Liste in § 35 Abs. 1 SGB I: Wer dort steht, trägt das Sozialgeheimnis unmittelbar. Sie nennt neben den Leistungsträgern unter anderem Integrationsfachdienste (Dienste Dritter, § 192 Abs. 1 SGB IX) sowie Gemeindebehörden und anerkannte Adoptionsvermittlungsstellen, soweit diese Aufgaben nach dem Sozialgesetzbuch wahrnehmen. Adoptionsvermittlungsstellen können Stellen von Diakonie, Caritasverband oder Arbeiterwohlfahrt sein (§ 2 Abs. 3 Adoptionsvermittlungsgesetz). Betreibt ein freier Träger eine solche Stelle oder einen Integrationsfachdienst, ist die Einrichtung unmittelbar an das Sozialgeheimnis gebunden. Freie Träger der Wohlfahrtspflege nennt die Liste als Gruppe nicht; das passt zur Jugendhilfe: Leistungen erbringen freie und öffentliche Träger, die Leistungsverpflichtungen richten sich aber nur an die öffentlichen Träger (§ 3 Abs. 2 SGB VIII).
| Trägerart | Was gilt | Aufsicht | Fundstelle |
|---|---|---|---|
| Leistungsträger: Jugendamt, Sozialamt, Eingliederungshilfeträger, Pflegekasse | Sozialgeheimnis und Zweites Kapitel SGB X unmittelbar. | Bundesbeauftragte (Stellen des Bundes) oder Landesdatenschutzstelle. Keine Geldbußen gegen Behörden. | § 35 SGB I; § 81 Abs. 1, § 85a Abs. 3 SGB X |
| Kommunale Einrichtungen: Kita, Beratungsstelle oder Jugendamt in Hand von Kreis, Stadt oder Gemeinde | Soweit sie Aufgaben nach dem SGB VIII wahrnehmen, sind sie Stellen des öffentlichen Trägers: Das Sozialgeheimnis gilt dann auch für Angaben, die Eltern oder Ratsuchende selbst machen. | Die nach Landesrecht zuständige Datenschutzstelle | § 35 Abs. 1 SGB I; § 61 Abs. 1 SGB VIII; § 81 Abs. 1 SGB X |
| Freie Träger: Verein, gGmbH, Stiftung | Eigene Daten: DSGVO und Bundesdatenschutzgesetz (BDSG). Übermittelte Sozialdaten: Zweckbindung und Geheimhaltung. Jugendhilfe: Schutz „in entsprechender Weise“ sicherzustellen. | Die nach Landesrecht zuständige Behörde | § 78 SGB X; § 61 Abs. 3 SGB VIII; § 40 BDSG |
| Katholische Träger: Caritas, Fachverbände, sonstige kirchliche Rechtsträger | Eigene Daten: Gesetz über den Kirchlichen Datenschutz (KDG); besondere staatliche Vorschriften gehen vor, soweit sie dessen Schutzniveau nicht unterschreiten. Übermittelte Sozialdaten: § 78. | Diözesandatenschutzbeauftragte | § 2 Abs. 2, § 3 Abs. 1, § 42 KDG; § 78 SGB X |
| Evangelische Träger: diakonische Dienste und Einrichtungen | Eigene Daten: Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD). Für Daten von Sozialleistungsträgern gelten staatliche Bestimmungen ergänzend entsprechend. | Kirchliche Aufsichtsbehörde | § 2 Abs. 1, § 39, § 54 Abs. 3 DSG-EKD |
In jeder Zeile kommt die Schweigepflicht nach § 203 StGB hinzu, soweit Fachkräfte zu den dort genannten Berufen gehören, etwa als staatlich anerkannte Sozialarbeiter oder Sozialpädagogen (Schweigepflicht bei IT, Cloud und KI). Das Sozialgeheimnis lässt sie unberührt (§ 35 Abs. 2a SGB I).
Das Zweite Kapitel: von der Erhebung bis zur Auskunft
| Vorschrift | Was sie regelt | Was bei freien und kirchlichen Trägern ankommt |
|---|---|---|
| §§ 67a bis 77 | Erhebung, Zweckbindung und Befugnisse zur Weitergabe (Übermittlung), etwa nach § 69 Abs. 1 Nr. 1 für den Erhebungszweck oder eine gesetzliche Aufgabe | Die Behörde verantwortet die Übermittlung (§ 67d Abs. 1) und braucht eine Befugnis oder Einwilligung. Daten von Ärztinnen oder anderen Berufsgeheimnisträgern gehen grundsätzlich nur unter deren Voraussetzungen weiter (§ 76 Abs. 1). |
| § 78 | Zweckbindung und Geheimhaltung beim Dritten, an den Sozialdaten übermittelt werden | Zweckbindung und Geheimhaltung für jeden Träger, der Sozialdaten erhält. |
| § 80 | Verarbeitung im Auftrag: Anzeige bei der Rechts- oder Fachaufsicht des Verantwortlichen, nicht der Datenschutzaufsicht; Beschränkungen für nicht-öffentliche Auftragnehmer | Der Wortlaut richtet sich an den Verantwortlichen, bei Sozialdaten also an die Behörde. |
| §§ 81 bis 85a | Anrufung der Datenschutzstelle, Informations- und Auskunftsrechte, Löschung, Straf- und Bußgeldvorschriften | Die Auskunft folgt DSGVO, KDG oder DSG-EKD. § 83 schränkt sie ein, etwa bei Daten, die nur wegen Aufbewahrungsvorschriften gespeichert sind; ob das für übermittelte Daten gilt, sagt der Wortlaut nicht (Auskunft und Kopie aus der Klientenakte). |
Zweckbindung und Geheimhaltung: Was ein Träger übernimmt, der Sozialdaten erhält
Eine Regel richtet sich unmittelbar an freie und kirchliche Träger: Personen oder Stellen, die nicht in § 35 SGB I genannt sind und denen Sozialdaten übermittelt wurden, dürfen diese nur zu dem Zweck verarbeiten, zu dem sie ihnen befugt übermittelt wurden, und müssen sie wie die Behörde geheim halten (§ 78 Abs. 1 Sätze 1 und 3 SGB X). Für nicht-öffentliche Stellen, also Stellen in privater Rechtsform, kommen zwei Regeln hinzu. Fordern sie Sozialdaten an, ist die Übermittlung nur zulässig, wenn sie sich vorher gegenüber der übermittelnden Stelle zur Zweckbindung verpflichtet haben (Abs. 1 Satz 2). Außerdem müssen sie die Beschäftigten, die mit den Daten arbeiten, spätestens bei der Übermittlung auf diese Pflichten hinweisen (Abs. 2). Vereinbarungen dazu behandelt der Beitrag zum Sozialdatenschutz bei freien Trägern.
Jugendhilfe, Pflege, Teilhabe: Was die Leistungsgesetze ergänzen
- Kinder- und Jugendhilfe. Für den öffentlichen Träger gelten § 35 SGB I, das Zweite Kapitel SGB X und die §§ 62 bis 68 SGB VIII (§ 61 Abs. 1). Werden Einrichtungen und Dienste freier Träger in Anspruch genommen, ist sicherzustellen, dass der Schutz dort „in entsprechender Weise“ gewährleistet ist; das Gesetz nennt nicht, wer das tut (§ 61 Abs. 3). Für anvertraute Daten gilt besonderer Vertrauensschutz, dem Wortlaut nach gegenüber Mitarbeitern des öffentlichen Trägers (§ 65).
- Kita und Beratung. Tageseinrichtungen gehören zur Kinder- und Jugendhilfe (§ 27 Abs. 1 Nr. 3 SGB I). Was Eltern oder Ratsuchende einem freien Träger selbst mitteilen, sind keine Sozialdaten; was ein Leistungsträger übermittelt, unterliegt § 78. Betreibt ein Kreis, eine Stadt oder eine Gemeinde die Kita oder Beratungsstelle und nimmt dabei Aufgaben nach dem SGB VIII wahr, sind die Daten Sozialdaten (§ 61 Abs. 1 SGB VIII).
- Pflege. In der Pflegeversicherung gelten § 35 SGB I und das Zweite Kapitel SGB X mit Ausnahme von § 85 (§ 93 SGB XI). Pflegedienste und Pflegeheime sind als Leistungserbringer berechtigt und verpflichtet, für Prüfverfahren, Verträge und Abrechnung die erforderlichen Angaben an die Pflegekassen zu übermitteln (§ 104 Abs. 1, § 71 SGB XI).
- Eingliederungshilfe. Der Träger der Eingliederungshilfe darf Leistungen durch Leistungserbringer, also Dienste und Einrichtungen, grundsätzlich nur bewilligen, wenn eine schriftliche Vereinbarung besteht; Ausnahmen regeln § 123 Abs. 1 Satz 1 und Abs. 5 SGB IX. Datenschutzklauseln nennt die Vorschrift nicht. Im Teilhabeplanverfahren, in dem der leistende Rehabilitationsträger die Leistungen mehrerer Träger abstimmt, ist er selbst Verantwortlicher (§ 19 Abs. 1, § 23 Abs. 1 SGB IX).
Was die Leitung festlegen muss
Verantwortlicher im Sinne des Datenschutzrechts ist der Träger, nicht die einzelne Fachkraft: Er entscheidet über Zwecke und Mittel der Verarbeitung (Art. 4 Nr. 7 DSGVO). Die Leitung bestimmt deshalb, welche Datenbestände als übermittelte Sozialdaten gelten, wer mit ihnen arbeitet und dass Verpflichtung und Hinweis an die Beschäftigten vorliegen.
Fragt eine Behörde nach Berichten oder Akten, klärt die Leitung, wer antwortet. Für die Rückmeldung braucht der Träger eine eigene Grundlage, zum Beispiel eine Einwilligung der betroffenen Person oder eine gesetzliche Befugnis. Fordert er selbst Daten an, trägt er die Verantwortung für die Richtigkeit seiner Angaben im Ersuchen (§ 67d Abs. 1 Satz 2 SGB X). Mehr zur Verantwortung der Leitung.
SGB X neben DSGVO, kirchlichem Recht und KI-Verordnung
Das SGB X ergänzt die DSGVO und ersetzt sie nicht; deren Grundlagen erklären die Beiträge zur DSGVO und zum BDSG. Das Zweite Kapitel und die Datenschutzregeln der übrigen Sozialgesetzbücher regeln die Verarbeitung von Sozialdaten abschließend, soweit nicht die DSGVO unmittelbar gilt oder die KI-Verordnung unmittelbar geltende Datenschutzvorschriften enthält (§ 35 Abs. 2 SGB I).
Kirchen dürfen ihre eigenen Datenschutzregeln weiter anwenden, wenn sie mit der DSGVO in Einklang gebracht sind (Art. 91 DSGVO). Kirchliche Träger wenden deshalb für eigene Daten das KDG oder das DSG-EKD an. Beide enthalten Vorrang- oder Verweisregeln für staatliche Vorschriften (§ 2 Abs. 2 KDG, § 54 Abs. 3 DSG-EKD). Nach meiner Einordnung bleibt § 78 SGB X deshalb für übermittelte Sozialdaten maßgeblich.
Seit dem 29. Juli 2026 gilt der Vorbehalt zugunsten unmittelbar geltender Datenschutzvorschriften auch für die KI-Verordnung (EU) 2024/1689 (§ 35 Abs. 2 SGB I; Bundesgesetzblatt, BGBl. 2026 I Nr. 223). Seit dem 24. Dezember 2025 dürfen Leistungsträger unter engen Voraussetzungen pseudonymisierte Sozialdaten (ohne zusätzliche Informationen keiner Person zuordenbar) für die Entwicklung eigener KI-Modelle nutzen (§ 67c Abs. 3 SGB X; BGBl. 2025 I Nr. 355). Freie Träger nennt der Wortlaut nicht; für sie bleibt es bei der Bindung an den Übermittlungszweck.
Vier Annahmen, die das Gesetz nicht trägt
- „Wer Sozialleistungen erbringt, unterliegt dem SGB X wie das Amt.“ Freie Träger nennt § 35 Abs. 1 SGB I nicht als Gruppe; Ausnahmen gelten für einzelne Dienste wie Integrationsfachdienste. Sonst erfasst sie § 78, sobald ihnen Sozialdaten übermittelt werden.
- „Jede Klientenakte besteht aus Sozialdaten.“ Sozialdaten verarbeitet eine Stelle des § 35 SGB I (§ 67 Abs. 2). Was ein freier Träger selbst erhebt, zählt nicht dazu; bei kommunalen Einrichtungen mit Aufgaben nach dem SGB VIII schon.
- „Jugendamt und Träger arbeiten zusammen, also dürfen Daten fließen.“ Zusammenarbeit allein ist keine Befugnis zur Weitergabe. Die Behörde braucht eine gesetzliche Befugnis (etwa aus den §§ 68 bis 77) oder eine Einwilligung (§ 67d Abs. 1; § 67b Abs. 2).
- „Kirchliche Träger haben eigenes Recht, das SGB X betrifft sie nicht.“ § 78 bindet jede Person und Stelle außerhalb des § 35 SGB I. KDG und DSG-EKD verweisen auf staatliche Vorschriften, das DSG-EKD für Daten von Sozialleistungsträgern ausdrücklich (§ 54 Abs. 3).
Die nächsten Schritte für Ihren Träger
- Ordnen Sie die Datenbestände. Halten Sie fest, welche Unterlagen von Leistungsträgern stammen und welche der Träger selbst erhebt.
- Prüfen Sie die Verpflichtungserklärungen. Wer als Träger in privater Rechtsform Sozialdaten angefordert hat, muss sich vorher zur Zweckbindung verpflichtet haben (§ 78 Abs. 1 Satz 2).
- Weisen Sie die Beschäftigten hin. Dokumentieren Sie den Hinweis auf Zweckbindung und Geheimhaltung.
- Lesen Sie die Vereinbarungen. Notieren Sie Datenschutzklauseln und offene Rollenfragen.
- Prüfen Sie Dienstleister und KI-Werkzeuge. Klären Sie, ob übermittelte Sozialdaten in Fachsoftware, Cloud oder KI-Werkzeuge gelangen und der Übermittlungszweck das trägt.
- Binden Sie den Datenschutzbeauftragten ein. Lassen Sie ihn die Zuordnung prüfen.
Die Zuordnung der Datenbestände und die Prüfung der Verpflichtungserklärungen kann ein externer Datenschutzbeauftragter begleiten.
Stand: 15. Oktober 2026. Das SGB X ist in der Fassung vom 15. Oktober 2026 geprüft (zuletzt geändert: BGBl. 2026 I Nr. 221). Das KDG gilt in der Fassung, die der Diözesanbischof für sein Bistum in Kraft gesetzt hat; zitiert ist die Fassung des Bistums Hildesheim vom 20. Januar 2026, in Kraft seit 1. März 2026. Der Wortlaut regelt nicht, ob § 80 SGB X auch für freie Träger gilt, die übermittelte Sozialdaten bei Dienstleistern verarbeiten lassen. Offen ist ebenso, ob § 78 Abs. 1 Satz 2 und Abs. 2 kirchliche Körperschaften des öffentlichen Rechts erfassen, da § 67 Abs. 5 nicht-öffentliche Stellen als Stellen des privaten Rechts bestimmt.
Häufige Fragen
Gilt das SGB X für unseren Verein als freien Träger?
Unmittelbar nur, wenn § 35 Abs. 1 Satz 4 SGB I den Dienst eigens nennt, etwa als Integrationsfachdienst oder anerkannte Adoptionsvermittlungsstelle. Sozialdaten, die ein freier Träger von einem Leistungsträger erhält, muss er aber nach § 78 SGB X zweckgebunden verarbeiten und geheim halten. Für Daten, die er selbst erhebt, gilt die DSGVO.
Worin unterscheiden sich Sozialgeheimnis und Schweigepflicht?
Das Sozialgeheimnis ist ein Anspruch der Betroffenen gegen Leistungsträger (§ 35 Abs. 1 SGB I). Die Schweigepflicht nach § 203 StGB trifft die einzelne Fachkraft persönlich, wenn sie zu den dort genannten Berufen gehört. Beide bestehen nebeneinander (§ 35 Abs. 2a SGB I).
Welche Datenschutzaufsicht ist für uns zuständig?
Das hängt von der Trägerart ab. Für freie Träger ist es die nach Landesrecht zuständige Behörde (§ 40 BDSG), für katholische Träger die Datenschutzaufsicht des Bistums (§ 42 KDG), für evangelische Träger eine kirchliche Aufsichtsbehörde (§ 39 DSG-EKD). Bei Leistungsträgern und öffentlichen Trägern sind es die Bundesbeauftragte oder die nach Landesrecht zuständige Stelle (§ 81 Abs. 1 SGB X).
Dürfen übermittelte Sozialdaten in ein KI-Werkzeug?
Nur, soweit das vom Zweck der Übermittlung gedeckt ist und die Geheimhaltung gewahrt bleibt (§ 78 Abs. 1 SGB X). Das Entwickeln eigener KI-Modelle erlaubt § 67c Abs. 3 SGB X dem Wortlaut nach nur den Stellen des § 35 SGB I. Ob ein bestimmtes Werkzeug vom Übermittlungszweck gedeckt ist, hängt vom Einzelfall ab.
Quellen
- Bundesministerium der Justiz und für Verbraucherschutz: Sozialgesetzbuch (SGB) Erstes Buch (I), § 12, § 21a, § 27, § 28, § 28a, § 35. gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Zehntes Buch Sozialgesetzbuch (SGB X), Inhaltsübersicht, § 67, § 67a bis § 67d, § 69, § 76, § 78, § 80, § 81, § 83, § 85a, Stand: zuletzt geändert durch Art. 6 des Gesetzes vom 21. Juli 2026. gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Sozialgesetzbuch (SGB) Achtes Buch (VIII), § 3, § 61, § 65, Inhaltsübersicht. gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Sozialgesetzbuch (SGB) Elftes Buch (XI), § 69, § 71, § 93, § 104. gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Sozialgesetzbuch (SGB) Neuntes Buch (IX), § 19, § 23, § 123, § 192. gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Gesetz über die Vermittlung der Annahme als Kind und über das Verbot der Vermittlung von Ersatzmüttern (Adoptionsvermittlungsgesetz), § 2. gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Strafgesetzbuch (StGB), § 203 Verletzung von Privatgeheimnissen. gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Bundesdatenschutzgesetz (BDSG), § 40. gesetze-im-internet.de, abgerufen am 15. Oktober 2026.
- Europäisches Parlament und Rat: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 4 Nr. 5 und 7, Art. 91. EUR-Lex, abgerufen am 15. Oktober 2026.
- Bistum Hildesheim (Bischof Dr. Heiner Wilmer SCJ): Gesetz über den Kirchlichen Datenschutz (KDG), Fassung vom 20. Januar 2026 nach dem Beschluss der Vollversammlung des Verbandes der Diözesen Deutschlands vom 24. November 2025, in Kraft seit 1. März 2026, § 2, § 3, § 42, § 58. PDF des Bistums Hildesheim, abgerufen am 15. Oktober 2026.
- Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025 (ABl. EKD 2025 S. 1), in der ab 1. Mai 2025 geltenden Fassung, § 2, § 39, § 54. kirchenrecht-ekd.de, abgerufen am 15. Oktober 2026.
- Bundesgesetzblatt: Gesetz zur Anpassung des Sechsten Buches Sozialgesetzbuch und anderer Gesetze vom 22. Dezember 2025, BGBl. 2025 I Nr. 355, Art. 11 (Änderung des SGB X: § 67c Abs. 3, § 69 Abs. 1 Nr. 4), Art. 24 (Inkrafttreten am Tag nach der Verkündung, ausgegeben am 23. Dezember 2025). recht.bund.de, abgerufen am 15. Oktober 2026.
- Bundesgesetzblatt: Gesetz zur Durchführung der Verordnung (EU) 2024/1689 vom 22. Juli 2026, BGBl. 2026 I Nr. 223, Art. 3 (Änderung des SGB I: § 35 Abs. 2 Satz 1), Art. 5 (Inkrafttreten am Tag nach der Verkündung, ausgegeben am 28. Juli 2026). recht.bund.de, abgerufen am 15. Oktober 2026.
- Bundesgesetzblatt: Gesetz zur besseren Verhinderung missbräuchlicher Anerkennungen der Vaterschaft und zur Änderung weiterer Vorschriften vom 21. Juli 2026, BGBl. 2026 I Nr. 221, Art. 6 (Änderung des SGB X). recht.bund.de, abgerufen am 15. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
