Die Vorlage in Kürze
- Im Gesetz heißt das Verarbeitungsverzeichnis „Verzeichnis von Verarbeitungstätigkeiten“ (Art. 30 Datenschutz-Grundverordnung, DSGVO; für katholische Träger § 31 des Gesetzes über den Kirchlichen Datenschutz, KDG, für evangelische Träger § 31 des Datenschutzgesetzes der Evangelischen Kirche in Deutschland, DSG-EKD). Auf Anfrage stellt der Träger es der Aufsicht zur Verfügung.
- Auch mit weniger als 250 Beschäftigten führt ein Träger das Verzeichnis, sobald er Gesundheitsdaten von Klientinnen und Klienten verarbeitet (Art. 30 Abs. 5 DSGVO, § 31 Abs. 5 KDG); nach dem DSG-EKD gilt das für die betreffenden Verfahren (§ 31 Abs. 5 Satz 2).
- Ein Vorblatt für den Träger und ein Blatt je Tätigkeit bilden die Vorlage. Pflichtangaben nennt Art. 30 Abs. 1 Buchst. a bis g DSGVO; KDG und DSG-EKD verlangen zusätzlich die Angabe, ob Profiling (automatisierte Bewertung persönlicher Aspekte) verwendet wird.
- Vier Mustereinträge zeigen den Zuschnitt: Klientenakte in der Fachsoftware, Dienstplanung, Bewerbungsverfahren und ein KI-Werkzeug.
- Führen muss das Verzeichnis der Träger; Datenschutzbeauftragte beraten und überwachen. Katholische Träger überprüfen es nach der Durchführungsverordnung zum KDG spätestens alle zwei Jahre (geprüft: Bistümer Hildesheim und Dresden-Meißen).
- Ein zwischen Rat und Parlament ausgehandelter DSGVO-Änderungstext würde die Ausnahme auf Stellen mit weniger als 1.000 Beschäftigten ausweiten und an ein hohes Risiko knüpfen. Beschlossen ist er nicht; es gilt die Grenze von 250.
Pflicht zum Verarbeitungsverzeichnis: auch unter 250 Beschäftigten bei Gesundheitsdaten
Jeder Verantwortliche führt ein Verzeichnis von Verarbeitungstätigkeiten, kurz Verarbeitungsverzeichnis, über alle Tätigkeiten, die in seine Zuständigkeit fallen (Art. 30 Abs. 1 DSGVO). Verantwortlich ist der Träger als Organisation, nicht die einzelne Fachkraft, denn er entscheidet über Zwecke und Mittel der Verarbeitung (Art. 4 Nr. 7 DSGVO, § 4 Nr. 9 KDG, § 4 Nr. 9 DSG-EKD). Mit dem Verzeichnis weist er nach, dass er die Regeln einhält (Erwägungsgrund 82, Art. 5 Abs. 2 DSGVO, § 7 Abs. 2 KDG, § 5 Abs. 2 DSG-EKD). Es ist schriftlich zu führen, was auch elektronisch möglich ist (Art. 30 Abs. 3).
Ausgenommen sind Einrichtungen mit weniger als 250 Beschäftigten. Die Ausnahme entfällt, sobald die Verarbeitung ein Risiko für die betroffenen Personen birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien einschließt (Art. 30 Abs. 5). Dazu gehören Gesundheitsdaten (Art. 9 Abs. 1, Art. 4 Nr. 15), nach Erwägungsgrund 35 auch Angaben über Krankheiten und Behinderungen. Als Beispiel für eine Verarbeitung, die nicht nur gelegentlich erfolgt, nennt die Datenschutzkonferenz (DSK), der Zusammenschluss der unabhängigen Datenschutzbehörden von Bund und Ländern, die Lohnabrechnung (Hinweise, Abschnitt 5).
Welches Gesetz die Pflicht regelt, hängt von der Trägerart ab:
| Gesetz | Für wen | Unter 250 Beschäftigten | Fundstelle |
|---|---|---|---|
| DSGVO | Träger, die weder dem KDG noch dem DSG-EKD unterliegen, etwa freie und kommunale Träger | Ausnahme; sie entfällt bei Risiko, nicht nur gelegentlicher Verarbeitung oder besonderen Kategorien | Art. 30 Abs. 5 |
| KDG | Caritasverband mit Untergliederungen und Fachverbänden sowie weitere kirchliche Rechtsträger, ohne Rücksicht auf die Rechtsform | Pflicht bei Gefährdung der Rechte und Freiheiten, nicht nur gelegentlicher Verarbeitung oder besonderen Kategorien | § 3 Abs. 1, § 31 Abs. 5 |
| DSG-EKD | Evangelische Kirche, Gliedkirchen und die ihnen zugeordneten kirchlichen und diakonischen Dienste, Einrichtungen und Werke | Verzeichnis nur für Verfahren, die besondere Kategorien einschließen | § 2 Abs. 1, § 31 Abs. 5 |
Beide kirchlichen Gesetze zählen Gesundheitsdaten zu den besonderen Kategorien (§ 4 Nr. 2 KDG, § 4 Nr. 2 Buchst. e DSG-EKD). Nach § 31 Abs. 5 Satz 2 DSG-EKD erstellen kirchliche Stellen mit weniger als 250 Beschäftigten Verzeichnisse nur für Verfahren mit besonderen Kategorien; der Beauftragte für den Datenschutz der EKD (BfD EKD), die Aufsichtsbehörde, liest die Vorschrift ebenso. Wer bei der Schwelle mitzählt, bestimmen KDG und DSG-EKD selbst: Beschäftigte sind dort auch Auszubildende, Teilnehmende an Leistungen zur Teilhabe am Arbeitsleben, Beschäftigte in anerkannten Werkstätten für Menschen mit Behinderungen und Freiwilligendienstleistende (§ 4 Nr. 24 KDG, § 4 Nr. 20 DSG-EKD). Die DSGVO spricht von Mitarbeitern, ohne den Begriff zu bestimmen. Einordnungen zu beiden Gesetzen bieten die Beiträge zum KDG und zum DSG-EKD.
Was als Verarbeitungstätigkeit zählt
Nach der DSK gilt als Verarbeitungstätigkeit im Allgemeinen ein Geschäftsprozess auf geeignetem Abstraktionsniveau (Hinweise, Abschnitt 1). Gemeint ist ein zusammenhängender Arbeitsablauf wie das Bewerbungsverfahren oder die Arbeitszeiterfassung (Abschnitt 6.2). Dabei legt die DSK einen strengen Maßstab an: Jeder neue Zweck ist eine eigene Tätigkeit. Das Verzeichnis ordnet damit nach Zwecken, nicht nach Programmen. Fachsoftware ist nur das Werkzeug, mit dem mehrere Tätigkeiten laufen, etwa die Dokumentation der Betreuung und die Abrechnung mit dem Kostenträger.
Nicht zu kleinteilig soll das Verzeichnis werden: Der BfD EKD empfiehlt, übergeordnete Tätigkeiten zu benennen und gleichartige Einzelverfahren darunter zusammenzufassen. Davon zu trennen ist ein Verzeichnis aller KI-Werkzeuge, auch privater Konten: Es ergänzt das Verarbeitungsverzeichnis und verweist über die Nummer der Verarbeitungstätigkeit darauf (Welche KI nutzt unser Team?).
Die Vorlage: ein Vorblatt und ein Blatt je Tätigkeit
Der Träger führt ein Vorblatt für das ganze Haus und für jede Tätigkeit ein eigenes Blatt. Die Tabelle zeigt die Felder. Auf bestehende Dokumente wie ein Sicherheitskonzept darf nach der DSK verwiesen werden, statt sie zu wiederholen.
| Feld | Was eintragen | Pflicht | Fundstelle |
|---|---|---|---|
| Vorblatt: Träger und Datenschutzbeauftragte | Name und Kontaktdaten des Trägers und der oder des Datenschutzbeauftragten, sofern benannt (im DSG-EKD: der örtlich Beauftragten für den Datenschutz); bei gemeinsamer Verantwortung auch der anderen Stelle | Pflicht | Art. 30 Abs. 1 Buchst. a DSGVO; § 31 Abs. 1 Buchst. a KDG; § 31 Abs. 1 Nr. 1 DSG-EKD |
| Bezeichnung und Zuständigkeit | Name der Tätigkeit, vom Zweck her gewählt; laufende Nummer; zuständige Funktion im Haus; Datum der Einführung und der letzten Änderung | empfohlen | DSK, Hinweise Abschnitt 6; DSK-Muster (lfd. Nr.) |
| Zweck | Wozu die Daten verarbeitet werden, so eindeutig, dass die Aufsicht die Angemessenheit der Schutzmaßnahmen und die Zulässigkeit der Verarbeitung vorläufig einschätzen kann | Pflicht | Art. 30 Abs. 1 Buchst. b; § 31 Abs. 1 Buchst. b KDG; § 31 Abs. 1 Nr. 2 DSG-EKD |
| Betroffene Personen und Daten | Kategorien der Personen und der Daten; besondere Kategorien wie Gesundheit, Religion oder Herkunft gesondert nennen | Pflicht | Art. 30 Abs. 1 Buchst. c; § 31 Abs. 1 Buchst. c KDG; § 31 Abs. 1 Nr. 3 DSG-EKD |
| Empfänger | Wer die Daten erhält, nach Kategorien, Empfänger in Drittländern jedoch konkret benannt; die Zugriffsberechtigten im Haus nach Rolle statt nach Namen | Pflicht; Zugriffsberechtigte empfohlen | Art. 30 Abs. 1 Buchst. d; § 31 Abs. 1 Buchst. e KDG; § 31 Abs. 1 Nr. 5 DSG-EKD; DSK, Hinweise Abschnitte 6.4 und 6.5 |
| Drittland | Übermittlung in ein Land außerhalb des Europäischen Wirtschaftsraums, mit Land und konkretem Empfänger; sonst der Vermerk, dass keine stattfindet. Ein Server dort ist eine Übermittlung, Support von dort kann eine sein. Garantien sind zu dokumentieren: nach der DSGVO bei Übermittlungen nach Art. 49 Abs. 1 Unterabs. 2, nach dem KDG bei Übermittlungen auf Grundlage geeigneter Garantien (§ 40 Abs. 2), nach dem DSG-EKD allgemein. | Pflicht, wenn zutreffend | Art. 30 Abs. 1 Buchst. e; § 31 Abs. 1 Buchst. f KDG; § 31 Abs. 1 Nr. 6 DSG-EKD; DSK, Hinweise Abschnitte 6.4 und 6.5; Drittland: § 4 Nr. 18 KDG, § 4 Nr. 18 DSG-EKD |
| Löschfristen | Frist je Datenkategorie mit Fundstelle; ein allgemeiner Verweis auf Aufbewahrungspflichten genügt nach der DSK nicht | Pflicht, wenn möglich | Art. 30 Abs. 1 Buchst. f; § 31 Abs. 1 Buchst. g KDG; § 31 Abs. 1 Nr. 7 DSG-EKD |
| Schutzmaßnahmen | Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen, etwa Rollen- und Rechtekonzept, Verschlüsselung, Datensicherung, mit Verweis auf das Sicherheitskonzept | Pflicht, wenn möglich; nach der DSK der Regelfall | Art. 30 Abs. 1 Buchst. g; § 31 Abs. 1 Buchst. h KDG; § 31 Abs. 1 Nr. 8 DSG-EKD |
| Profiling | Ob Daten automatisiert verwendet werden, um persönliche Aspekte einer Person zu bewerten, etwa Arbeitsleistung, Gesundheit, Zuverlässigkeit oder Verhalten | Pflicht nach KDG und DSG-EKD, wenn zutreffend | § 31 Abs. 1 Buchst. d KDG; § 31 Abs. 1 Nr. 4 DSG-EKD; Begriff: Art. 4 Nr. 4 DSGVO |
| Zusatzfelder | Rechtsgrundlage, Auftragsverarbeiter (Dienstleister, der im Auftrag des Trägers verarbeitet) mit Name und Datum des Vertrags, zugriffsberechtigte Rollen, Verweis auf eine Datenschutz-Folgenabschätzung (vorab durchgeführte Abschätzung der Folgen, Art. 35 Abs. 1 DSGVO) | freiwillig, sinnvoll; als Empfänger sind Auftragsverarbeiter Pflichtangabe (Zeile Empfänger) | DSK, Hinweise Abschnitt 1; Merkblatt des BfD EKD; Auftragsverarbeiter: Art. 4 Nr. 8 und 9 DSGVO |
Katholische Träger ordnen ihre Daten nach der Durchführungsverordnung zum KDG (KDG-DVO) einer von drei Datenschutzklassen zu. Diese Einordnung soll in der Regel bei der Erstellung des Verzeichnisses erfolgen und die oder der betriebliche Datenschutzbeauftragte soll angehört werden (§ 9 Abs. 3 KDG-DVO). Wie sich solche Klassen für KI-Werkzeuge anwenden lassen, zeigt die Vorlage für Datenklassen.
Vier Mustereinträge aus dem Alltag eines Trägers
Alle Einträge sind frei gewählt und stammen aus keinem Träger. Eckige Klammern markieren, was der Träger selbst festlegen muss. Für Kita, Beratung und Jugendhilfe sind betroffene Personen und Datenkategorien anzupassen.
Mustereintrag 1: Klientenakte in der Fachsoftware (Muster, keine reale Einrichtung)
- Bezeichnung und Nummer
- Dokumentation der Betreuung in der Fachsoftware; [laufende Nummer eintragen]
- Zweck
- Planung, Durchführung und Dokumentation der Betreuung oder Pflege. Die Abrechnung mit dem Kostenträger ist ein anderer Zweck und bekommt ein eigenes Blatt.
- Betroffene Personen
- Klientinnen und Klienten, in der Kita Kinder und Sorgeberechtigte; Angehörige und gesetzliche Vertretungen als Kontaktpersonen
- Datenkategorien
- Stamm- und Kontaktdaten, Hilfe- oder Pflegeplanung. Besondere Kategorien gesondert: Gesundheitsdaten wie Diagnosen, Medikation, Pflegeverlauf und Angaben zu Behinderungen.
- Empfänger
- Intern: Fachkräfte des betreuenden Teams und die Leitung, nach Rollen. Extern: [Kostenträger und weitere Stellen eintragen, soweit eine Rechtsgrundlage besteht]. Anbieter der Fachsoftware als Auftragsverarbeiter, mit Vertrag.
- Drittland
- [Keine Übermittlung eintragen, sobald der Anbieter Serverstandort und Herkunft des Supports schriftlich bestätigt hat; sonst Land und Empfänger eintragen]
- Löschfristen
- [Frist je Datenkategorie mit Fundstelle eintragen]
- Schutzmaßnahmen
- [Rollen- und Rechtekonzept, Protokollierung der Zugriffe, Verschlüsselung, Datensicherung, soweit vorhanden]; Verweis auf [Sicherheitskonzept mit Datum]
- Profiling
- [Nein oder Ja mit Beschreibung, je nachdem, ob die Fachsoftware Werte zu einzelnen Personen berechnet, die deren Gesundheit oder Verhalten bewerten]
- Rechtsgrundlage (freiwillig)
- [Vom Träger zu bestimmen: Art. 6 Abs. 1 und Art. 9 Abs. 2 DSGVO, § 6 und § 11 KDG oder § 6 und § 13 DSG-EKD]
Welche Fragen vor dem Vertrag mit dem Anbieter einer Fachsoftware zu klären sind, behandelt der Beitrag zur Auswahl von Dokumentationssoftware. Für Dienstplanung, Bewerbungsverfahren und KI-Werkzeug zeigt die Tabelle nur, was den Eintrag ausmacht. Löschfristen, Drittland und Schutzmaßnahmen werden wie bei Mustereintrag 1 ausgefüllt.
| Tätigkeit | Zweck und betroffene Personen | Datenkategorien | Was der Eintrag klären muss |
|---|---|---|---|
| Mustereintrag 2: Dienstplanung | Einsatz der Beschäftigten planen und Dienste besetzen. Beschäftigte, Aushilfen und Ehrenamtliche mit Diensten | Name, Qualifikation, Arbeitszeiten, Dienste, Urlaub. Steht der Grund einer Abwesenheit im Plan, etwa Krankheit, ist das ein Gesundheitsdatum. | Wer den Plan sieht (Team, Aushang, geteilter Kalender), gehört in die Empfängerangabe. Arbeitszeiterfassung und Lohnabrechnung sind eigene Tätigkeiten. |
| Mustereintrag 3: Bewerbungsverfahren | Auswahl neuer Beschäftigter. Bewerberinnen und Bewerber | Kontaktdaten, Lebenslauf, Zeugnisse. Teilt jemand eine Behinderung mit, ist das ein Gesundheitsdatum. | [Löschfrist für abgelehnte Bewerbungen festlegen und eintragen.] Kommt ein KI-Werkzeug zur Vorauswahl hinzu, ist der Eintrag anzupassen (KI in der Personalauswahl). |
| Mustereintrag 4: KI-Werkzeug für Textentwürfe | Texte entwerfen und überarbeiten. Beschäftigte als Nutzende; Personen, deren Angaben in Eingaben vorkommen, in dem Umfang, den die Datenregel des Trägers zulässt | Konto- und Nutzungsdaten der Beschäftigten; Eingaben, soweit sie einen Personenbezug haben | Anbieter als Auftragsverarbeiter mit Vertrag. Serverstandort, weitere Dienstleister und Trainingsnutzung der Eingaben klären und eintragen. Bewertet das Werkzeug Personen, ist Profiling anzugeben. |
Ob für ein KI-Werkzeug eine Datenschutz-Folgenabschätzung nötig ist, behandelt der Beitrag zur Folgenabschätzung bei KI-Werkzeugen. Im Zusatzfeld verweist der Eintrag dann auf deren Ergebnis.
Das Verzeichnis pflegen: Zuständigkeit, Überprüfung und Vorlage bei der Aufsicht
Führen muss das Verzeichnis der Träger, vertreten durch die Leitung. Pflegen kann es eine Koordinationsstelle für Datenschutz oder Qualität. Nach der KDG-DVO kann der Träger seine Aufgaben aus dieser Verordnung, darunter Aktualisierung und Überprüfung des Verzeichnisses (§ 1), durch schriftliche Anordnung auf geeignete Mitarbeitende übertragen, nicht aber auf die oder den betrieblichen Datenschutzbeauftragten (§ 15 Abs. 6). Datenschutzbeauftragte beraten und überwachen (Art. 39 Abs. 1 Buchst. a und b DSGVO, § 38 KDG, § 38 DSG-EKD, dort örtlich Beauftragte genannt). Katholische Träger geben ihnen das Verzeichnis vor Beginn der Verarbeitung, sofern eine Benennung besteht (§ 31 Abs. 4 KDG, § 1 Abs. 1 KDG-DVO).
Fristen zur Überprüfung nennt die DSGVO nicht. Katholische Träger aktualisieren das Verzeichnis bei jeder Veränderung eines Verfahrens, überprüfen es im Übrigen spätestens alle zwei Jahre und dokumentieren das (§ 1 Abs. 3 KDG-DVO). So steht es in den seit 1. März 2026 geltenden Fassungen der Bistümer Hildesheim und Dresden-Meißen; die Zweijahresfrist stand schon in der Fassung des Bistums Dresden-Meißen von 2019, dort als § 1 Abs. 5. Ich halte ein ähnliches Vorgehen auch für Träger nach DSGVO und DSG-EKD für sinnvoll: Aktualisierung bei einer neuen Software oder KI-Funktion, einem neuen Zweck und einem Wechsel des Dienstleisters, dazu ein fester Jahrestermin. Änderungen nachvollziehbar zu dokumentieren und die Dokumentation ein Jahr zu speichern, empfiehlt die DSK; der BfD EKD nennt mindestens ein Jahr.
Das Verzeichnis bleibt beim Träger. Die DSGVO sieht weder eine Einsicht für jedermann noch eine Meldung an die Aufsicht vor (DSK, Kurzpapier Nr. 1); für evangelische Stellen bezeichnet der BfD EKD es ausdrücklich als nicht öffentlich. Auf Anfrage bekommt die Aufsicht es und kann das Format bestimmen; untersucht sie einzelne Tätigkeiten, sind nur die dafür erforderlichen Abschnitte vorzulegen (DSK, Hinweise Abschnitte 2 und 3.2). Fehlt das Verzeichnis oder ist es unvollständig, kann das nach der DSGVO ein Bußgeld auslösen (Art. 83 Abs. 4 Buchst. a; DSK, Kurzpapier Nr. 1). Für katholische und evangelische Träger regeln § 51 KDG und § 45 DSG-EKD die Geldbuße eigens; evangelische Stellen trifft sie nach § 45 Abs. 1 Satz 2 DSG-EKD nur, soweit sie als Unternehmen am Wettbewerb teilnehmen.
Aus der Rechtsprechung: Gerichtshof der Europäischen Union, Urteil vom 4. Mai 2023, C-60/22
Im Streit um einen Antrag auf internationalen Schutz hatte das vorlegende Gericht nach dem Verzeichnis der Verarbeitungstätigkeiten für die elektronische Akte gefragt. Ein vollständiges legte das Bundesamt für Migration und Flüchtlinge nach Angaben des Gerichts nicht vor (Randnummern 2, 32 und 43). Dazu entschied der Gerichtshof, dass ein Verstoß gegen die Pflicht zum Verzeichnis keine unrechtmäßige Verarbeitung ist und der betroffenen Person kein Recht auf Löschung oder Einschränkung gibt (Randnummern 61 und 69). Fehlt das Verzeichnis, belegt das für sich genommen auch keine Verletzung der Rechte der betroffenen Personen (Randnummer 65). An der Pflicht ändert das nichts: Ein Verstoß ist mit anderen Maßnahmen der DSGVO zu heilen, etwa den Abhilfebefugnissen der Aufsicht (Randnummer 67).
Was das Verzeichnis nicht ersetzt und was offen bleibt
Mit dem Verzeichnis sind nicht alle Dokumentationspflichten erfüllt. Weitere Nachweise nennt die DSK, etwa zu Einwilligungen, zur Ordnungsmäßigkeit der Verarbeitung und zu Datenschutz-Folgenabschätzungen (Hinweise, Abschnitt 1). Wie die Schutzmaßnahmen vor Ort überprüft werden, beschreibt der Beitrag zur Datenschutz-Begehung. Die Benennungspflicht erklärt der Beitrag zum Datenschutzbeauftragten; die übrigen Pflichten fasst der Beitrag zur DSGVO in Sozialer Arbeit und Pflege zusammen. Verarbeitet der Träger auch Daten im Auftrag anderer Einrichtungen, kommt ein Verzeichnis nach Art. 30 Abs. 2 DSGVO (§ 31 Abs. 2 KDG, § 31 Abs. 2 DSG-EKD) hinzu; die Mustereinträge betreffen nur das Verzeichnis des Verantwortlichen.
Offen ist, ob und wie sich die Ausnahme in Art. 30 Abs. 5 DSGVO ändert. Die EU-Kommission hat am 21. Mai 2025 vorgeschlagen, sie auf Einrichtungen mit weniger als 750 Beschäftigten auszuweiten und an ein hohes Risiko der Verarbeitung zu knüpfen (COM(2025) 501, Art. 1 Nr. 2). Der zwischen Parlament und Rat ausgehandelte Text vom 26. Juni 2026 nennt stattdessen 1.000 Beschäftigte (PE790.249, Art. 1 Nr. 2). Die Pflicht soll danach nur für einzelne Verarbeitungstätigkeiten mit voraussichtlich hohem Risiko gelten, in jedem Fall aber für Kerntätigkeiten, für die ein Datenschutzbeauftragter zu benennen ist (Art. 37 Abs. 1 Buchst. b oder c DSGVO, etwa die umfangreiche Verarbeitung besonderer Kategorien als Kerntätigkeit). Ob die Tätigkeiten eines einzelnen Trägers darunter fallen, beantwortet der Text nicht.
Behörden und öffentliche Stellen sollen die Ausnahme nach Erwägungsgrund 8 des Textes nicht nutzen können. Beschlossen ist die Änderung nicht. Der Ausschuss der Ständigen Vertreter der Regierungen der Mitgliedstaaten (AStV) hat die Einigung für den Rat am 26. Juni 2026 bestätigt, die zuständigen Ausschüsse des Parlaments haben den Text am 2. Juli 2026 gebilligt. Es fehlen die Abstimmung im Plenum des Parlaments, nach der Verfahrensdatenbank des Parlaments (Legislative Observatory) vorläufig für den 23. November 2026 vorgesehen, und die förmliche Annahme durch den Rat. Bis zum Inkrafttreten gilt Art. 30 Abs. 5 unverändert; KDG und DSG-EKD nennen ihre Schwelle in § 31 Abs. 5 selbst.
Die Funktion der oder des Datenschutzbeauftragten lässt sich extern besetzen (Art. 37 Abs. 6 DSGVO, § 36 Abs. 5 KDG, § 36 Abs. 5 DSG-EKD); das Angebot steht auf der Seite zum externen Datenschutzbeauftragten (400 bis 900 € im Monat).
Stand: 21. Oktober 2026. Geprüft ist das KDG in der Fassung des Bistums Hildesheim (in Kraft seit 1. März 2026, geändert durch das 2. KDG-Änderungsgesetz vom 29. Juni 2026 mit Wirkung zum 1. August 2026, das nur § 37 Abs. 2 Satz 4 betrifft); im Bistum Dresden-Meißen gilt das KDG-Änderungsgesetz seit 1. März 2026 und das 2. KDG-Änderungsgesetz seit 1. August 2026. Die KDG-DVO ist in den Fassungen Hildesheim 2026 und Dresden-Meißen 2026 geprüft (Kirchliches Amtsblatt 2026 Nr. 6, wobei sich die Absatzzählung aus den Änderungsanweisungen ergibt); maßgeblich ist der Text des eigenen Bistums. Vom DSG-EKD ist die Neufassung vom 15. Januar 2025 in der ab 1. Mai 2025 geltenden Fassung geprüft, nicht das landeskirchliche Recht. Nicht geprüft ist das Landesrecht für öffentliche Stellen, das für kommunale Träger neben die DSGVO tritt; nicht festgestellt ist, ob der ausgehandelte Text PE790.249 in der Endfassung unverändert bleibt.
Fragen zum Verarbeitungsverzeichnis
Brauchen kleine Träger und Vereine ein Verarbeitungsverzeichnis?
Ja, sobald eine Bedingung des Art. 30 Abs. 5 DSGVO erfüllt ist: ein Risiko für die betroffenen Personen, besondere Kategorien wie Gesundheitsdaten oder eine Verarbeitung, die nicht nur gelegentlich erfolgt. Die Ausnahme für Stellen mit weniger als 250 Beschäftigten greift nur, wenn keine davon vorliegt. Evangelische und diakonische Stellen führen es unter 250 Beschäftigten für Verfahren mit besonderen Kategorien (§ 31 Abs. 5 DSG-EKD).
Muss das Verarbeitungsverzeichnis der Aufsicht gemeldet oder veröffentlicht werden?
Nein. Die Aufsicht erhält es auf Anfrage (Art. 30 Abs. 4 DSGVO, § 31 Abs. 4 KDG, § 31 Abs. 4 DSG-EKD). Eine Einsicht für jedermann oder eine Meldung sieht die DSGVO nicht vor (DSK, Kurzpapier Nr. 1); der Beauftragte für den Datenschutz der EKD nennt das Verzeichnis nicht öffentlich.
Gibt es ein amtliches Muster für das Verzeichnis von Verarbeitungstätigkeiten?
Die DSK stellt ein Muster für Verantwortliche bereit (Stand Februar 2018). Bei katholischen Trägern bildet ein Muster der zuständigen Datenschutzaufsicht grundsätzlich den Mindeststandard, soweit sie eines bereitstellt (§ 1 Abs. 2 KDG-DVO). Der Beauftragte für den Datenschutz der EKD bietet ein Musterverzeichnis zu § 31 DSG-EKD an.
Quellen
- Europäische Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 4 Nr. 4, 7, 8, 9 und 15, Art. 5 Abs. 2, Art. 6 Abs. 1, Art. 9 Abs. 1 und 2, Art. 30, Art. 35 Abs. 1, Art. 37 Abs. 1 und 6, Art. 39 Abs. 1, Art. 49 Abs. 1, Art. 83 Abs. 4, Erwägungsgründe 35 und 82. EUR-Lex, abgerufen am 20. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK): Hinweise zum Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DS-GVO, Stand Februar 2018, Abschnitte 1, 2, 3.2, 4, 5 und 6. PDF der DSK, abgerufen am 20. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK): Muster Verzeichnis von Verarbeitungstätigkeiten, Verantwortlicher gemäß Art. 30 Abs. 1 DSGVO, Februar 2018. PDF der DSK, abgerufen am 20. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK): Kurzpapier Nr. 1, Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DS-GVO, Stand 17. Dezember 2018. PDF der DSK, abgerufen am 20. Oktober 2026.
- Gerichtshof der Europäischen Union: Urteil vom 4. Mai 2023, C-60/22 (UZ gegen Bundesrepublik Deutschland), Randnummern 2, 32, 43 und 59 bis 69 sowie Tenor Nr. 1. EUR-Lex, abgerufen am 20. Oktober 2026.
- Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG), Beschluss vom 24. November 2025, vom Bischof von Hildesheim zum 1. März 2026 in Kraft gesetzt, §§ 3, 4, 6, 7, 11, 31, 36, 38, 40 und 51. PDF des Bistums Hildesheim, abgerufen am 20. Oktober 2026.
- Bistum Hildesheim: 2. KDG-Änderungsgesetz vom 29. Juni 2026, Kirchlicher Anzeiger für das Bistum Hildesheim Nr. 6/2026 vom 15. Juli 2026, S. 221, in Kraft seit 1. August 2026. PDF des Bistums Hildesheim, abgerufen am 21. Oktober 2026.
- Bistum Hildesheim: Durchführungsverordnung zum KDG (KDG-DVO), in Kraft seit 1. März 2026, §§ 1, 9 und 15. PDF des Bistums Hildesheim, abgerufen am 20. Oktober 2026.
- Bistum Dresden-Meißen: Verordnung zur Änderung der Durchführungsverordnung zum KDG (KDG-DVO-Änderungsverordnung) vom 26. Februar 2026, Kirchliches Amtsblatt für das Bistum Dresden-Meißen 2026, Nr. 6 vom 14. April 2026, Art. 1 Nr. 2 und 9, Art. 2; KDG-Änderungsgesetz vom 26. Februar 2026, Kirchliches Amtsblatt 2026, Nr. 3 vom 2. März 2026, Art. 1 Nr. 27, Art. 2; 2. KDG-Änderungsgesetz vom 5. Juni 2026, Kirchliches Amtsblatt 2026, Nr. 10 vom 8. Juni 2026, Nr. 37, Art. 1 und 2; Ausgangsfassung der KDG-DVO: Kirchliches Amtsblatt 2019, Nr. 2 vom 20. Februar 2019, § 1. PDF Amtsblatt Nr. 6/2026, PDF Amtsblatt Nr. 3/2026, PDF Amtsblatt Nr. 10/2026 und PDF Amtsblatt Nr. 2/2019, abgerufen am 21. Oktober 2026.
- Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025, ABl. EKD 2025 Nr. 1, §§ 2, 4, 5, 6, 13, 31, 36, 38 und 45. Kirchenrecht Online (PDF), abgerufen am 20. Oktober 2026.
- Der Beauftragte für den Datenschutz der EKD: Verzeichnis von Verarbeitungstätigkeiten, Seite vom 11. April 2019 mit Merkblatt für verantwortliche Stellen und Musterverzeichnis. datenschutz.ekd.de, abgerufen am 20. Oktober 2026.
- Europäischer Datenschutzausschuss (EDSA): Data protection guide for small business, International data transfers. edpb.europa.eu, abgerufen am 20. Oktober 2026.
- Europäische Kommission: Vorschlag COM(2025) 501 final vom 21. Mai 2025 für eine Verordnung zur Änderung der Verordnung (EU) 2016/679 und weiterer Verordnungen, Art. 1 Nr. 2. EUR-Lex, abgerufen am 20. Oktober 2026.
- Europäisches Parlament: Provisional agreement resulting from interinstitutional negotiations, 26. Juni 2026, PE790.249v01-00, Verfahren 2025/0130(COD), Art. 1 Nr. 2 und Erwägungsgründe 8 bis 10a. PDF des Europäischen Parlaments, abgerufen am 21. Oktober 2026.
- Europäisches Parlament: Legislative Observatory, Verfahren 2025/0130(COD), Stadium „Awaiting Parliament's position in 1st reading“, Billigung im Ausschuss am 2. Juli 2026, vorläufiger Plenartermin 23. November 2026; Bestätigungsschreiben des AStV vom 26. Juni 2026 (GEDA/A/(2026)004146). oeil.europarl.europa.eu und Schreiben des AStV (PDF), abgerufen am 21. Oktober 2026.
- Europäische Union: Verfahrensseite 2025/0130/COD (Status laufend) und konsolidierte Fassung der DSGVO vom 4. Mai 2016. EUR-Lex 2025/0130/COD und konsolidierte Fassung, abgerufen am 20. Oktober 2026.
- Rat der Europäischen Union: Pressemitteilung vom 9. Juni 2026 zur vorläufigen Einigung über das Paket „Omnibus IV“, Abschnitt Next steps. consilium.europa.eu, abgerufen am 21. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
