Datenschutz und KI lassen sich delegieren, die Verantwortung nicht

Verantwortlich ist der Träger, handeln muss die Leitung

Im Mittelpunkt der Datenschutz-Grundverordnung (DSGVO) steht der Verantwortliche. Das ist die Stelle, die über Zwecke und Mittel einer Verarbeitung entscheidet, ausdrücklich auch eine juristische Person (Art. 4 Nr. 7 DSGVO). Bei einem freien Träger ist das die gGmbH, der Verein oder die Stiftung. Dieser Verantwortliche muss die Einhaltung der Grundsätze sicherstellen und nachweisen können (Art. 5 Abs. 2 DSGVO). Dafür setzt er geeignete technische und organisatorische Maßnahmen um und überprüft sie, wenn nötig (Art. 24 Abs. 1 DSGVO).

Der Europäische Datenschutzausschuss, in dem die Aufsichts­behörden der Mitgliedstaaten zusammenarbeiten, stellt dazu klar: In der Praxis ist die Organisation als solche Verantwortlicher, nicht der Geschäftsführer oder ein Mitglied des Leitungsorgans. Auch wer im Träger für den Datenschutz benannt wird, handelt für die juristische Person und wird nicht selbst Verantwortlicher (Leitlinien 07/2020, Rn. 17 und 18).

Für die juristische Person handelt die Leitung. Die Geschäftsführer vertreten die gGmbH (§ 35 Abs. 1 GmbHG), der Vorstand vertritt den Verein und die Stiftung (§ 26 Abs. 1 und § 84 Abs. 2 BGB). Kirchliche Träger trifft dieselbe Rechenschafts­pflicht: katholische nach dem Gesetz über den Kirchlichen Datenschutz (§ 7 Abs. 2 KDG), evangelische nach dem Datenschutzgesetz der EKD (§ 5 Abs. 2 DSG-EKD).

Die Aufsicht der katholischen Kirche in Bayern hat es in ihrem Tätigkeitsbericht 2025 zur Überschrift gemacht: „Delegation von Aufgaben bedeutet keine Delegation der Verantwortung“. Verantwortliche können Beschäftigte betrauen, Koordinatoren benennen, einen Datenschutz­beauftragten bestellen oder Dienstleister einschalten; die Gesamtverantwortung geht dadurch nicht über (Abschn. 3.1.3, S. 85).

Eine Geldbuße gegen den Träger setzt nicht voraus, dass die Leitung Bescheid wusste

Der Gerichtshof der Europäischen Union (EuGH) hat 2023 geklärt, wie weit die Verantwortung einer juristischen Person reicht. Sie haftet für Verstöße ihrer Leitung und ebenso für Verstöße jeder anderen Person, die im Rahmen der unternehmerischen Tätigkeit in ihrem Namen handelt. Eine Geldbuße setzt weder eine Handlung noch eine Kenntnis des Leitungsorgans voraus, wohl aber Vorsatz oder Fahrlässigkeit (Urteil vom 5. Dezember 2023, C-807/21, Rn. 44, 75 und 77). Auch für einen Auftragsverarbeiter, also einen Dienstleister, der in seinem Namen Daten verarbeitet, kann der Verantwortliche einstehen müssen. Das gilt nicht, wenn der Dienstleister für eigene Zwecke handelt, den vom Verantwortlichen festgelegten Rahmen verlässt oder in einer Weise verarbeitet, der der Verantwortliche vernünftigerweise nicht zugestimmt hätte (C-683/21, Rn. 84 und 85).

Was den Träger entlastet, ist deshalb nicht Unwissen, sondern Organisation. Bei der Entscheidung über eine Geldbuße und ihre Höhe zählt der Grad der Verantwortung unter Berücksichtigung der nach Art. 25 und 32 getroffenen technischen und organisatorischen Maßnahmen (Art. 83 Abs. 2 Buchst. d DSGVO). Von der Pflicht zum Schadensersatz an Betroffene wird der Träger nur befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand verantwortlich ist, durch den der Schaden eingetreten ist (Art. 82 Abs. 1 bis 3 DSGVO). Beides führt zur selben Frage: Was hat die Leitung für den Träger angeordnet, ausgewählt und kontrolliert? Und lässt es sich belegen?

Ein kirchliches Verfahren zeigt, wer im Verfahren steht. Eine Auszubildende hatte in einem katholischen Krankenhaus unbefugt eine abgeschlossene Patientenakte geöffnet. Die kirchliche Datenschutzaufsicht verfolgte den Krankenhausträger: Sie stellte einen Verstoß gegen die Pflicht zu angemessenen technischen und organisatorischen Maßnahmen fest (§ 26 KDG) und verhängte später eine Geldbuße. Das Interdiözesane Datenschutzgericht, das kirchliche Gericht für solche Verfahren, hob den Bußgeldbescheid wegen eines Fehlers bei der Bemessung auf; der Verstoß stand durch einen bestandskräftigen Bescheid fest (Beschluss vom 16. Februar 2026, IDSG 05/2024). Ob ein Rechtsmittel eingelegt wurde, ist mir nicht bekannt.

Ob der Dienstleister daneben eigene Pflichten hatte, sagt der Bericht nicht. Für mich zeigt der Fall, dass die Antwort auf die Frage, wer über eine Verarbeitung entschieden hat, die Folgen bestimmt. Wie ein solches Verfahren abläuft, beschreibt der Beitrag zum Ablauf eines Aufsichtsverfahrens.

Wer entscheidet, wenn der Datenschutz­beauftragte Bedenken hat?

Die Leitung. Der Datenschutz­beauftragte unterrichtet und berät den Träger und die Beschäftigten und überwacht die Einhaltung des Datenschutzrechts (Art. 39 Abs. 1 Buchst. a und b DSGVO). Er ist frei von Weisungen und berichtet unmittelbar der höchsten Managementebene (Art. 38 Abs. 3 DSGVO). Eine Befugnis zu entscheiden gibt ihm die Verordnung nicht. Seine Meldungen liegen deshalb bei der Leitung. Sie muss darüber entscheiden.

Die Leitlinien der Artikel-29-Datenschutzgruppe von 2017, des Vorgängergremiums des Europäischen Datenschutzausschusses, stellen es ausdrücklich klar. Datenschutz­beauftragte sind bei Verstößen nicht persönlich verantwortlich. Die Datenschutz-Folgen­abschätzung, die Risikoprüfung vor besonders riskanten Verarbeitungen, ist Sache des Verantwortlichen (WP 243 rev.01, Abschnitte 4.1 und 4.2).

Im kirchlichen Recht steht die Leitung sogar im Wortlaut. Wer eine katholische Stelle leitet, darf nicht ihr Datenschutz­beauftragter werden (§ 36 Abs. 7 KDG). Muss eine evangelische Stelle niemanden als Beauftragten bestellen, hat die Leitung die Erfüllung der Aufgabe in anderer Weise sicherzustellen (§ 36 Abs. 6 DSG-EKD). Wann ein Träger einen Datenschutz­beauftragten benennen muss, steht im Beitrag zur Benennungspflicht.

Für IT-Dienstleister und Cloud-Anbieter gilt dieselbe Arbeitsteilung. Der Träger darf nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien bieten (Art. 28 Abs. 1 DSGVO). Sie verarbeiten Daten nur auf seine dokumentierte Weisung und müssen ihm Überprüfungen ermöglichen (Art. 28 Abs. 3 Buchst. a und h DSGVO). Auswahl, Weisung und Überprüfung liegen nach dem Gesetz beim Träger.

§ 38 BSIG nennt die Geschäfts­leitung selbst

Für Träger, die unter die europäische NIS2-Richtlinie zur Cybersicherheit fallen, wird die Verantwortung persönlich. Das BSI-Gesetz (BSIG), die deutsche Umsetzung, verpflichtet die Geschäfts­leitungen besonders wichtiger und wichtiger Einrichtungen, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen (§ 38 Abs. 1 BSIG). Nach der Begründung des Regierungsentwurfs billigt die Geschäfts­leitung die Maßnahmen zunächst als geeignet und überwacht ihre Umsetzung kontinuierlich. Die Begründung (Bundestagsdrucksache 21/1501, S. 154) fasst den Kern in einem Satz: „Auch bei Einschaltung von Hilfspersonen bleibt das Leitungsorgan letztverantwortlich.“

Verletzt die Geschäfts­leitung ihre Pflicht, haftet sie der Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln der jeweiligen Rechtsform oder hilfsweise nach dem BSI-Gesetz (§ 38 Abs. 2 BSIG). Außerdem muss sie selbst an Schulungen teilnehmen, um Risiken der IT-Sicherheit erkennen und bewerten zu können (§ 38 Abs. 3 BSIG). In welchen Abständen, nennt das Gesetz nicht. Dieselbe Begründung versteht darunter Schulungen, die mindestens alle drei Jahre angeboten werden.

Ob ein Träger erfasst ist, hängt von Einrichtungsart, Größe und entgeltlichem Angebot ab (§ 28 BSIG). Wie Pflege, Eingliederungs­hilfe und Jugendhilfe einzuordnen sind und wie das BSI die Abstände der Schulungen einschätzt, beschreibt der Beitrag Fällt unser Träger unter NIS2?

Für nicht erfasste Träger ist § 38 BSIG keine Pflicht. Ich halte ihn trotzdem für einen brauchbaren Maßstab, weil er festhält, wie der Gesetzgeber die Verantwortung der Leitung für IT-Sicherheit fasst. Sicherheitsmaßnahmen schuldet jeder Verantwortliche nach der DSGVO (Art. 32), kirchliche Träger nach ihrem eigenen Recht (§ 26 KDG, § 27 DSG-EKD).

Betreiber eines KI-Systems ist der Träger

Die KI-Verordnung (EU) 2024/1689 richtet ihre Pflichten an Anbieter und Betreiber. Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet; ausgenommen ist nur die persönliche, nicht berufliche Nutzung (Art. 3 Nr. 4 KI-Verordnung). Arbeitet eine Fachkraft im Dienst mit einem freigegebenen Werkzeug, verwendet der Träger das System in eigener Verantwortung. Betreiber ist deshalb aus meiner Sicht der Träger und nicht die einzelne Fachkraft. Was gilt, wenn Mitarbeitende ohne Freigabe private Konten nutzen, beschreibt der Beitrag zur Schatten-KI.

Seit dem 27. Juli 2026 gilt Art. 4 in neuer Fassung. Betreiber müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen; ein bestimmtes Niveau müssen sie nicht garantieren (Art. 4 Abs. 1 KI-Verordnung, neu gefasst durch die Verordnung (EU) 2026/1744). Die Koordination kann die Leitung übertragen. Welche Maßnahmen der Träger ergreift, entscheidet die Leitung für ihn. Mehr dazu im Beitrag zur KI-Kompetenz.

Bei Hochrisiko-Systemen, also KI-Systemen mit besonders strengen Pflichten, etwa in der Personalauswahl (dazu der Beitrag zur KI in der Personalauswahl), sieht die Verordnung die Delegation selbst vor. Betreiber übertragen die menschliche Aufsicht natürlichen Personen mit der erforderlichen Kompetenz, Ausbildung und Befugnis und geben ihnen die nötige Unterstützung (Art. 26 Abs. 2 KI-Verordnung). Für Systeme nach Anhang III gilt das ab dem 2. Dezember 2027, für Systeme nach Anhang I, also in Produkten unter bestimmten EU-Produktvorschriften wie den Medizinprodukten, ab dem 2. August 2028 (Art. 113 Abs. 3 Buchst. c Ziff. i und ii KI-Verordnung).

Ob die Leitung dem Träger haftet, regelt die Rechtsform

Gegenüber Betroffenen und Aufsicht steht der Träger. Ob die Leitung ihm einen Schaden ersetzen muss, den sie durch eine Pflichtverletzung verursacht hat, richtet sich nach der Rechtsform.

Stand: 8. Oktober 2026, auch für den Betrag von 3.300 Euro in § 31a BGB. Zu den gesetzlichen Regeln kommen Satzung und Dienstvertrag hinzu.

Für NIS2 verweist § 38 Abs. 2 Satz 1 BSIG auf die „Regeln des Gesellschaftsrechts“. Enthalten die gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung, haftet die Geschäfts­leitung nach dem BSI-Gesetz selbst (Satz 2). Ob zum Gesellschaftsrecht in diesem Sinn auch das Vereins- und Stiftungsrecht zählt, sagt das Gesetz nicht.

Der stärkste Einwand: Dafür gibt es doch Fachleute

Der Einwand lautet: Der Träger hat einen Datenschutz­beauftragten und einen IT-Dienstleister, die mehr davon verstehen als die Geschäfts­führung. Er hat Gewicht: Das Gesetz verlangt vom Datenschutz­beauftragten berufliche Qualifikation und Fachwissen (Art. 37 Abs. 5 DSGVO) und stellt ihn von Weisungen frei (Art. 38 Abs. 3 DSGVO).

Dem stimme ich zu, soweit der Einwand gute Delegation beschreibt. Sie hat aber Bedingungen. Der Bundesgerichtshof (BGH) lässt einem Vorstandsmitglied einer Aktiengesellschaft bei einem Rechtsirrtum eine Entlastung nur ausnahmsweise zu; fehlende Sachkunde allein entschuldigt nicht. Das Vorstandsmitglied muss die Verhältnisse umfassend darstellen, sich von einem unabhängigen, für die Frage fachlich qualifizierten Berufsträger beraten lassen und den Rat sorgfältig auf Plausibilität prüfen (Urteil vom 28. April 2015, II ZR 63/14). Ob ein Datenschutz­beauftragter oder ein IT-Dienstleister dafür ausreicht, sagt das Urteil nicht.

Auch eine zulässige Verteilung der Aufgaben unter Geschäftsführern entbindet nicht von der eigenen Verantwortung für die ordnungsgemäße Führung der Geschäfte (Urteil vom 6. November 2018, II ZR 11/17, Rn. 15). Die beiden Urteile betreffen den Vorstand einer Aktiengesellschaft und die Geschäftsführer einer GmbH, nicht den Datenschutz. Ich halte den Gedanken trotzdem für übertragbar, weil er beschreibt, was Sorgfalt bei Arbeitsteilung heißt: Fachleute sorgfältig auswählen, sich berichten lassen, über das Berichtete entscheiden und die Umsetzung prüfen. Einen Datenschutz­beauftragten, dessen Berichte ohne Entscheidung bleiben, halte ich für ein eigenes Risiko. Die Berichte können später zeigen, dass die Leitung den Mangel kannte oder kennen konnte; bei der Geldbuße kommt es auf Vorsatz oder Fahrlässigkeit an (C-807/21, Rn. 75).

Wo meine Position endet

Meine Position ist eine Einordnung, keine Haftungsberatung. Ob eine Leitungsperson im Einzelfall haftet, hängt von Satzung, Geschäftsordnung, Vergütung, Verschulden und den Umständen ab.

Einige Fragen sind offen. Ob Geschäftsführer neben dem Träger selbst Verantwortliche sein können, lasse ich offen; die Leitlinien des Datenschutzausschusses schließen das nicht grundsätzlich aus, sehen in der Praxis aber die Organisation in dieser Rolle (Leitlinien 07/2020, Rn. 17). Ob die Haftung der Geschäfts­leitung eines erfassten Vereins oder einer Stiftung nach deren Recht oder hilfsweise nach dem BSIG zu beurteilen ist, ist offen; eine gefestigte Auslegung durch Behörden oder Gerichte ist mir nicht bekannt. Ob jeder Träger, etwa ein ehrenamtlich geführter Verein, ein Unternehmen im Sinne des Urteils C-807/21 ist (Rn. 78), habe ich nicht geprüft.

Nicht geprüft habe ich die Haftung der Leitung kirchlicher Rechtsträger, die nicht als gGmbH, Verein oder Stiftung bürgerlichen Rechts verfasst sind, ferner kommunale und andere öffentliche Träger sowie Versicherungsfragen, etwa für Organmitglieder oder gegen Cyberschäden.

Zum Eigeninteresse: Ich bin selbst externer Datenschutz­beauftragter und biete Schulungen an. Die Belege stehen unter Quellen.

Was Leitungen mitnehmen

Drei Fragen an die eigene Einrichtung:

• Wer entscheidet im Träger über Datenschutz, KI und IT-Sicherheit und wo steht das schriftlich?
• Wann hat die Leitungsrunde zuletzt einen Bericht des Datenschutz­beauftragten oder des IT-Dienstleisters behandelt und was wurde daraufhin entschieden?
• Nach welchen Kriterien wurden Datenschutz­beauftragter, IT-Dienstleister und KI-Werkzeuge ausgewählt und wer prüft, ob sie halten, was vereinbart ist?

Wer die Fragen in der Leitungsrunde besprechen möchte, findet das Angebot unter Schulungen für Leitungen.

Quellen

1. Europäische Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 4 Nr. 7, Art. 5 Abs. 2, Art. 6 Abs. 1, Art. 24, 25, 28, 32, 35, 37 bis 39, 82 und 83. EUR-Lex, abgerufen am 8. Oktober 2026.
2. Europäischer Datenschutzausschuss: Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO, Version 2.0 vom 7. Juli 2021, Rn. 17 und 18. PDF des EDSA, abgerufen am 8. Oktober 2026.
3. Artikel-29-Datenschutzgruppe: Leitlinien in Bezug auf Datenschutz­beauftragte (WP 243 rev.01), angenommen am 13. Dezember 2016, zuletzt überarbeitet und angenommen am 5. April 2017, Abschnitte 4.1 und 4.2. Europäische Kommission, abgerufen am 8. Oktober 2026.
4. Gerichtshof der Europäischen Union: Urteil vom 5. Dezember 2023, Deutsche Wohnen, Rs. C-807/21, Rn. 44, 75, 77 und 78. EUR-Lex, abgerufen am 8. Oktober 2026.
5. Gerichtshof der Europäischen Union: Urteil vom 5. Dezember 2023, Nacionalinis visuomenės sveikatos centras, Rs. C-683/21, Rn. 84 und 85. EUR-Lex, abgerufen am 8. Oktober 2026.
6. Katholisches Datenschutzzentrum Bayern: 6. Tätigkeitsbericht, Berichtsjahr 2025, Abschn. 3.1.3, S. 85. PDF des Datenschutzzentrums, abgerufen am 8. Oktober 2026.
7. Erzbistum Hamburg: Gesetz über den Kirchlichen Datenschutz (KDG), Amtliche Lesefassung, geändert am 19. Januar 2026, §§ 7, 26 und 36. PDF der Datenschutzaufsicht Nord, abgerufen am 8. Oktober 2026.
8. Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025, §§ 5, 27 und 36. Kirchenrecht Online (PDF), abgerufen am 8. Oktober 2026.
9. Bundesministerium der Justiz und für Verbraucherschutz: Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG), § 28 und § 38 auf gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
10. Bundesregierung: Entwurf eines Gesetzes zur Umsetzung der NIS-2-Richtlinie, Bundestagsdrucksache 21/1501 vom 8. September 2025, Begründung zu § 38, S. 154. PDF des Bundestags, abgerufen am 8. Oktober 2026.
11. Europäische Union: Verordnung (EU) 2024/1689 (KI-Verordnung), konsolidierte Fassung vom 27. Juli 2026, Art. 3 Nr. 4, Art. 4, 26 und 113. EUR-Lex, abgerufen am 8. Oktober 2026.
12. Europäische Union: Verordnung (EU) 2026/1744 zur Änderung der Verordnung (EU) 2024/1689 (Digital-Omnibus-Verordnung zur KI), ABl. L vom 24. Juli 2026, Art. 1 Nr. 5 und Art. 4. EUR-Lex, abgerufen am 8. Oktober 2026.
13. Bundesministerium der Justiz und für Verbraucherschutz: Gesetz betreffend die Gesellschaften mit beschränkter Haftung (GmbHG), § 35 und § 43 auf gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
14. Bundesministerium der Justiz und für Verbraucherschutz: Bürgerliches Gesetzbuch (BGB), § 26, § 27, § 31a, § 84 und § 84a auf gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
15. Bundesgerichtshof: Urteil vom 28. April 2015, II ZR 63/14. urteile-gesetze.de, abgerufen am 8. Oktober 2026.
16. Bundesgerichtshof: Urteil vom 6. November 2018, II ZR 11/17, Rn. 15. urteile-gesetze.de, abgerufen am 8. Oktober 2026.
17. Sächsische Datenschutz- und Transparenzbeauftragte: Tätigkeitsbericht Datenschutz 2025, Kap. 2.2.8, S. 69 bis 74. publikationen.sachsen.de, abgerufen am 8. Oktober 2026.
18. Interdiözesanes Datenschutzgericht: Beschluss vom 16. Februar 2026, IDSG 05/2024, anonymisierte Fassung. PDF der Deutschen Bischofskonferenz, abgerufen am 8. Oktober 2026.

Christian Monat

Ich bin externer Datenschutz­beauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich

Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.