Gilt die DSGVO für kirchliche Träger? Was KDG und DSG-EKD für eure Software heißen

Nils Rieter · Gründer von Lotsana, IT-Unternehmer aus dem Raum Köln. Baut Fachsoftware für ambulante soziale Dienste und schreibt hier über die Praxis dahinter.

Die Software ist ausgesucht, die Geschäftsführung ist überzeugt, der Preis passt. Dann kommt die Rückmeldung aus dem Verband: „Der Auftragsverarbeitungsvertrag geht so nicht, wir fallen nicht unter die DSGVO." Für Caritas- und Diakonie-nahe Träger ist das kein Formfehler, sondern ein Beschaffungsstopp. Was dahintersteckt, was im Vertrag stehen muss — und was sich 2025 und 2026 in beiden Kirchen geändert hat.

Stand: 12. August 2026 (Quellen abgerufen am 05.08.2026, am Seitenende verlinkt). Arbeitshilfe, keine Rechtsberatung. Verbindlich sind die amtlichen Gesetzestexte und die Auskunft eurer zuständigen kirchlichen Datenschutzaufsicht. Grundlage: das Gesetz über den Kirchlichen Datenschutz (KDG) und die Durchführungsverordnung dazu (KDG-DVO), beide in der Fassung des Beschlusses der Vollversammlung des Verbandes der Diözesen Deutschlands (VDD) vom 24.11.2025, sowie das EKD-Datenschutzgesetz (DSG-EKD) in der Neufassung vom 15.01.2025.

Warum kirchliche Träger ein eigenes Datenschutzrecht haben

Die Kirchen ordnen und verwalten ihre Angelegenheiten selbstständig innerhalb der Schranken des für alle geltenden Gesetzes. Verfassungsrechtlich steht das in Art. 140 GG in Verbindung mit Art. 137 Abs. 3 der Weimarer Reichsverfassung. Europarechtlich hat die DSGVO das aufgegriffen: Art. 91 DSGVO und Erwägungsgrund 165 lassen bestehende umfassende kirchliche Datenschutzregeln weiterbestehen, wenn sie mit der Verordnung in Einklang gebracht werden.

Beide Kirchen berufen sich in ihren Gesetzen ausdrücklich darauf. Die Präambel des KDG nennt Art. 91 und Erwägungsgrund 165 DSGVO sowie Art. 17 AEUV und sagt in einem Satz, worum es geht: „In Wahrnehmung dieses Rechts stellt dieses Gesetz den Einklang mit der EU-DSGVO her." Die Präambel des DSG-EKD ist fast wortgleich aufgebaut.

Praktisch heißt das: DSGVO und BDSG gelten für kirchliche Stellen nicht unmittelbar. An ihre Stelle treten das Gesetz über den Kirchlichen Datenschutz (KDG, katholisch) und das EKD-Datenschutzgesetz (DSG-EKD, evangelisch) — mit eigenen Paragrafen, eigenen Aufsichten und eigenem Rechtsweg. Was das nicht heißt: dass staatliches Recht keine Rolle spielt. § 2 Abs. 2 KDG lässt besondere staatliche Vorschriften vorgehen, sofern sie das Schutzniveau des KDG nicht unterschreiten, und § 54 Abs. 3 DSG-EKD ordnet für Daten, die von Sozialleistungsträgern offengelegt werden, ausdrücklich die entsprechende Geltung der staatlichen Bestimmungen an. Der Sozialdatenschutz nach §§ 67 ff. SGB X und die Schweigepflicht nach § 203 StGB bleiben also im Spiel.

Wer fällt darunter — die Frage, die oft falsch beantwortet wird

Der häufigste Irrtum in der Praxis: „Wir sind eine gGmbH, also gilt die DSGVO." Die Rechtsform entscheidet gerade nicht.

Katholisch, § 3 Abs. 1 KDG: erfasst sind die Diözese, Kirchengemeinden, Kirchenstiftungen und Kirchengemeindeverbände — sowie „den Deutschen Caritasverband, die Diözesan-Caritasverbände, ihre Untergliederungen und ihre Fachverbände ohne Rücksicht auf ihre Rechtsform" und die sonstigen kirchlichen Rechtsträger, ebenfalls ohne Rücksicht auf die Rechtsform.
Evangelisch, § 2 Abs. 1 DSG-EKD: erfasst sind die EKD, die Gliedkirchen, die gliedkirchlichen Zusammenschlüsse, alle weiteren kirchlichen juristischen Personen des öffentlichen Rechts „sowie die ihnen zugeordneten kirchlichen und diakonischen Dienste, Einrichtungen und Werke ohne Rücksicht auf deren Rechtsform".

Eine diakonische gGmbH mit fünf Schulbegleitungen fällt also unter das DSG-EKD, ein Caritas-Fachverband unter das KDG. Umgekehrt gilt genauso: Ein freier Träger, der keiner Kirche und keinem kirchlichen Verband zugeordnet ist, bleibt bei DSGVO und BDSG — auch mit christlichem Leitbild im Satzungszweck.

Wenn ihr unsicher seid, ob ihr „zugeordnet" seid: Im evangelischen Bereich führen die EKD und die Gliedkirchen nach § 2 Abs. 1 Satz 3 DSG-EKD eine Übersicht über die Werke und Einrichtungen mit eigener Rechtspersönlichkeit, für die das Gesetz gilt. Dort steht ihr drin oder eben nicht. Im katholischen Bereich klärt das der Diözesan-Caritasverband oder die zuständige Datenschutzaufsicht.

Wichtig: Beide Gesetze sind gerade neu gefasst worden

Wer eine Checkliste aus 2019 oder 2022 googelt, arbeitet an mehreren Stellen mit überholtem Recht. Die Zeitleiste:

Wann	Was
13.11.2024	Die Synode der EKD beschließt die Änderung des DSG-EKD (Kirchengesetz vom 13.11.2024, ABl. EKD S. 150).
15.01.2025	Bekanntmachung der Neufassung im Amtsblatt der EKD (ABl. EKD S. 1).
01.05.2025	Das neue DSG-EKD tritt in Kraft.
24.11.2025	Die Vollversammlung des Verbandes der Diözesen Deutschlands beschließt die Novellierung von KDG und KDG-DVO.
01.03.2026	Geplantes Inkrafttreten der Neufassung in den (Erz-)Diözesen.

Eine Besonderheit, die man kennen sollte: Das KDG ist kein Bundesgesetz. Die Novelle muss laut dem Katholischen Datenschutzzentrum „von den Diözesanbischöfen für ihre jeweilige (Erz-)Diözese als Gesetz erlassen" werden. Welche Fassung bei euch tatsächlich gilt, steht im Amtsblatt eures (Erz-)Bistums. Im evangelischen Bereich gilt das DSG-EKD in der EKD unmittelbar, die Gliedkirchen können nach § 54 Abs. 2 DSG-EKD aber ergänzende Bestimmungen erlassen.

Wo KDG und DSG-EKD der DSGVO folgen — und wo nicht

Das KDG ist eng am Aufbau der DSGVO gebaut: Betroffenenrechte, Datenschutz-Folgenabschätzung, technische und organisatorische Maßnahmen, Meldepflicht bei Datenpannen — alles in vergleichbarer Systematik, teils fast wortgleich. Das DSG-EKD ist an mehreren Stellen eigenständiger geblieben, gerade beim Auftragsverarbeitungsvertrag. Die Unterschiede, die im Beschaffungsgespräch tatsächlich auftauchen:

Thema	KDG (katholisch)	DSG-EKD (evangelisch)
Auftragsverarbeitung	§ 29 — Struktur und Wortlaut eng an Art. 28 DSGVO	§ 30 — eigener Katalog mit zehn Pflichtinhalten
Form des Vertrags	Schriftform (§ 29 Abs. 9 Satz 1); für die Ersetzung durch elektronische Form oder Textform verweist das Gesetz auf die staatlichen Regelungen	Textform (§ 30 Abs. 3 Satz 2) — in der Neufassung von „schriftlich" auf Textform geändert
Unterauftragnehmer	Keine ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung; bei allgemeiner Genehmigung Information über jede Änderung mit Einspruchsmöglichkeit (§ 29 Abs. 2)	Berechtigung und Bedingungen von Unterauftragsverhältnissen sind im Vertrag festzulegen (§ 30 Abs. 3 Satz 2 Nr. 6)
Datenpanne an die Aufsicht	Unverzüglich; bei Meldung später als 72 Stunden ist eine Begründung beizufügen (§ 33 Abs. 1)	Unverzüglich, wenn ein „nicht unerhebliches Risiko" droht; keine 72-Stunden-Frist im Gesetz (§ 32 Abs. 1)
Datenschutzbeauftragte	Diözese und Gemeinden immer; sonstige kirchliche Stellen ab in der Regel 20 Personen oder bei sensibler Kerntätigkeit (§ 36)	Ab in der Regel 20 Personen oder wenn die Kerntätigkeit in umfangreicher Verarbeitung besonderer Kategorien besteht (§ 36 Abs. 1)
Aufsicht	Datenschutzaufsicht je Diözese (§ 42); faktisch fünf regionale Aufsichten plus Ordensdatenschutz	Beauftragte für den Datenschutz der EKD; Gliedkirchen können eigene Aufsichten errichten, auch für ihre diakonischen Werke (§ 39)
Rechtsweg	Interdiözesanes Datenschutzgericht, danach Datenschutzgericht der Deutschen Bischofskonferenz (§ 49b)	Kirchliche Verwaltungsgerichte (§ 47)
Geldbußen	Bis 1.000.000 €; für kirchliche Unternehmen im Wettbewerb bis 4 % des Jahresumsatzes, maximal 3.000.000 € (§ 51 Abs. 5)	Bis 6.000.000 € (§ 45 Abs. 5); gegen verantwortliche Stellen nur, soweit sie als Unternehmen am Wettbewerb teilnehmen (§ 45 Abs. 1)

Die Zahlen in der letzten Zeile sind nicht der Punkt, an dem sich Beschaffung entscheidet. Der Punkt ist der Vertrag.

Der Auftragsverarbeitungsvertrag: was drinstehen muss

Katholisch: § 29 KDG

Wer den AVV nach Art. 28 DSGVO kennt, findet sich sofort zurecht. § 29 Abs. 3 KDG verlangt, dass der Vertrag Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festlegt. § 29 Abs. 4 KDG listet die Pflichten des Auftragsverarbeiters auf: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeitsverpflichtung der eingesetzten Personen, Maßnahmen nach § 26 KDG, Bedingungen für weitere Auftragsverarbeiter, Unterstützung bei Betroffenenrechten, Unterstützung bei Meldepflichten und Datenschutz-Folgenabschätzung, Löschung oder Rückgabe nach Vertragsende, Nachweise sowie das Ermöglichen von Überprüfungen einschließlich Inspektionen.

Drei Punkte, an denen sich das KDG vom DSGVO-Alltag unterscheidet:

Der Vertrag darf auf kirchlichem, staatlichem oder europäischem Recht beruhen (§ 29 Abs. 3). Ein an Art. 28 DSGVO orientierter Vertrag ist damit nicht automatisch falsch. Für diesen Fall soll aber, so die Stabsstelle Datenschutz der Diözese Rottenburg-Stuttgart unter Verweis auf einen Beschluss der Konferenz der Diözesandatenschutzbeauftragten, „zumindest ein pauschaler Verweis auf das kirchliche Datenschutzgesetz in den Vertrag aufgenommen werden"; die Diözesen stellen dafür Zusatzvereinbarungen bereit. Das ist kein Gesetzeswortlaut, sondern die abgestimmte Linie der katholischen Aufsichten — aber genau daran scheitert eure Beschaffung praktisch oder eben nicht.
Die Datenschutzaufsicht kann Standardvertragsklauseln festlegen (§ 29 Abs. 8). Fragt nach, ob eure Aufsicht das getan hat, bevor ihr selbst formuliert.
Nachweise und Überprüfungen müssen im Vertrag stehen. § 29 Abs. 4 lit. h KDG verlangt, dass der Auftragsverarbeiter alle Informationen zum Nachweis bereitstellt und Überprüfungen — einschließlich Inspektionen — durch euch oder einen von euch beauftragten Prüfer ermöglicht. Die Aufsicht selbst hat nach § 47 Abs. 1 KDG weitreichende Untersuchungsbefugnisse gegenüber „dem Verantwortlichen oder dem Auftragsverarbeiter", bis hin zum Zugang zu Räumlichkeiten und Datenverarbeitungsanlagen. Ob sie damit einen nicht-kirchlichen Anbieter unmittelbar erreicht, ist allerdings nicht abschließend geklärt: Der organisatorische Anwendungsbereich in § 3 KDG erfasst kirchliche Stellen, und § 49a KDG spricht ausdrücklich von „kirchlichen Auftragsverarbeitern". Praktisch führt der Weg deshalb über den Vertrag — und ein Anbieter, der Prüfungen nicht zulässt, ist für euch keiner.

Evangelisch: § 30 DSG-EKD

Hier ist der Zuschnitt anders. § 30 Abs. 3 Satz 2 DSG-EKD nennt zehn Punkte, die im Auftrag „im Einzelnen festzulegen" sind:

Gegenstand und Dauer des Auftrags
Umfang, Art und Zweck der Verarbeitung, Art der Daten, Kreis der Betroffenen
die nach § 27 DSG-EKD zu treffenden technischen und organisatorischen Maßnahmen und ihre Kontrolle durch den Auftragsverarbeiter
Berichtigung, Löschung und Einschränkung der Verarbeitung von Daten
Verpflichtung der Beschäftigten des Auftragsverarbeiters auf das Datengeheimnis
gegebenenfalls Berechtigung und Bedingungen von Unterauftragsverhältnissen
Kontrollrechte der auftraggebenden Stelle und die Duldungs- und Mitwirkungspflichten des Auftragsverarbeiters
mitzuteilende Verstöße des Auftragsverarbeiters oder seiner Beschäftigten
Umfang der Weisungsbefugnis, die sich die kirchliche Stelle vorbehält
Rückgabe überlassener Datenträger und Löschung der beim Auftragsverarbeiter gespeicherten Daten nach Auftragsende

Der Punkt, den fast alle übersehen, steht direkt danach: Nach § 30 Abs. 3 Sätze 3 und 4 DSG-EKD hat sich die auftraggebende kirchliche Stelle vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen Maßnahmen zu überzeugen — und das Ergebnis zu dokumentieren. Das ist eure Pflicht, nicht die des Anbieters. Plant sie als wiederkehrenden Termin ein und fragt den Anbieter, was er euch dafür liefert.

§ 30 Abs. 5 DSG-EKD erlaubt ausdrücklich: Wenn die kirchlichen Datenschutzbestimmungen auf den Auftragsverarbeiter selbst keine Anwendung finden, „dürfen sich abweichend von Absatz 3 die Vertragsinhalte an Artikel 28 EU-Datenschutz-Grundverordnung orientieren". Ein sauberer DSGVO-AVV reicht in diesem Fall also.

Was seit Mai 2025 weggefallen ist

Bis zum 30. April 2025 stand in § 30 Abs. 5 Satz 3 DSG-EKD ein Satz, der die Beschaffung jahrelang geprägt hat: „Der Auftragsverarbeiter unterwirft sich der kirchlichen Datenschutzaufsicht." Dafür gab es eine eigene Zusatzerklärung des Beauftragten für den Datenschutz der EKD, zuletzt in Version 2.0 aus 2021. Viele Anbieter kennen genau dieses Papier — und viele Checklisten im Netz verlangen es bis heute.

Dieser Satz ist im neuen DSG-EKD gestrichen. Der BfD EKD hat den Wegfall am 8. Mai 2025 selbst bekannt gegeben und seinen Mustervertrag zur Auftragsverarbeitung auf Version 3.0 (gültig ab 01.05.2025) umgestellt. Wenn euch 2026 noch jemand eine Unterwerfungserklärung nach § 30 Abs. 5 DSG-EKD zur Unterschrift schickt, arbeitet er mit einer alten Vorlage. Im katholischen Bereich hat es diese Konstruktion im KDG ohnehin nie gegeben — dort läuft die Bindung eines nicht-kirchlichen Anbieters über den Vertrag nach § 29 KDG.

Wer bei euch die Aufsicht ist

Katholisch: Nach § 42 KDG richtet jeder Diözesanbischof für seine Diözese eine unabhängige Datenschutzaufsicht ein. Faktisch bündeln sich diese in fünf regionalen Stellen — Nord, Ost, das Katholische Datenschutzzentrum in Dortmund für Nordrhein-Westfalen, das Katholische Datenschutzzentrum Frankfurt am Main für den mittel- und südwestdeutschen Bereich und das Katholische Datenschutzzentrum Bayern in Nürnberg — dazu kommt der gemeinsame Ordensdatenschutzbeauftragte, den § 45 Abs. 1 KDG ausdrücklich erwähnt. Für über- oder mehrdiözesane Rechtsträger ist nach § 45 Abs. 1 KDG die Aufsicht der Diözese zuständig, in der der Rechtsträger seinen Sitz hat. Bei mehreren Standorten in mehreren Bistümern bleibt es also bei einer Aufsicht.

Evangelisch: Der Rat der EKD errichtet nach § 39 Abs. 2 DSG-EKD die Aufsichtsbehörde für den Bereich der EKD, ihres Evangelischen Werkes für Diakonie und Entwicklung sowie der gesamtkirchlichen Werke. Die Gliedkirchen können nach § 39 Abs. 3 eigene Aufsichten errichten — auch eigene für ihre diakonischen Dienste, Einrichtungen und Werke. Wer zuständig ist, hängt also von eurer Landeskirche ab. Eine aktuelle Adressliste beider Konfessionen führt der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit.

Was das für die Softwareauswahl heißt: sechs Punkte

1. Serverstandort und Drittland

Ein Anbieter, der euch den Verarbeitungsort nicht auf Anhieb nennen kann, hat das erste Gespräch verloren. Für Übermittlungen in Drittländer gelten §§ 39 ff. KDG beziehungsweise § 10 DSG-EKD über den Verweis in § 30 Abs. 2 DSG-EKD. Deutschland oder EU vereinfacht alles; bei US-Unterbau braucht ihr die Garantie im Vertrag, benannt und nicht nur behauptet.

2. Unterauftragnehmer

Verlangt die vollständige Liste, nicht die Kategorie „Hosting-Dienstleister". Katholisch braucht ihr nach § 29 Abs. 2 KDG eine schriftliche Genehmigung — gesondert oder allgemein — und bei allgemeiner Genehmigung die Information über jede beabsichtigte Änderung mit Einspruchsmöglichkeit. Evangelisch gehört die Regelung nach § 30 Abs. 3 Satz 2 Nr. 6 DSG-EKD in den Vertrag.

3. Der Meldeweg bei Datenpannen

Der Anbieter meldet euch, ihr meldet der kirchlichen Aufsicht — nicht der Landesdatenschutzbehörde. Damit ihr die Frist aus § 33 KDG überhaupt halten könnt, muss die Meldefrist des Anbieters deutlich darunter liegen. Steht im Vertrag nur „unverzüglich", verhandelt eine Stundenzahl hinein. Wie so eine Meldung praktisch abläuft, steht in unserem Ratgeber zur Meldung binnen 72 Stunden — die Fristenlogik dort ist die DSGVO-Fassung, die kirchlichen Fristen weichen wie oben beschrieben ab.

4. Cloud-Nutzung: § 18 KDG-DVO ist neu

Mit der Novelle hat der katholische Bereich erstmals eine eigene Norm für Cloud-Dienste. § 18 der Durchführungsverordnung zum KDG (KDG-DVO) verlangt dreierlei: primär bereits geprüfte und freigegebene Cloud-Dienste zu nutzen; vor der Nutzung anderer Dienste zu prüfen, ob die Sicherheitsanforderungen erfüllt sind; und je nach Risikoanalyse vorab „eine Exit-Strategie zu definieren (z. B. Datenlöschung, Datenübertragung)".

Als mögliche Risiken nennt § 18 Abs. 2 KDG-DVO unter anderem unzureichend gesicherte administrative Zugänge, mangelnde Portabilität von personenbezogenen Daten und IT-Systemen, herstellerspezifische Datenformate, die gemeinsame Nutzung der Cloud-Infrastruktur durch mehrere Kunden, Unkenntnis über den Speicherort der Informationen und unbefugten Zugriff etwa durch Administrationspersonal des Anbieters. Übersetzt in Beschaffungsfragen: Wie sind die Mandanten getrennt? Wo liegen die Daten? In welchem Format bekomme ich sie wieder heraus, ohne den Anbieter zu fragen? Das klärt man vor der Unterschrift, nicht Jahre später — dazu passt unser Ratgeber zum Softwarewechsel und zur Datenmigration.

5. Das Verzeichnis von Verarbeitungstätigkeiten

Das VVT führt ihr, nicht der Anbieter — § 31 KDG beziehungsweise § 31 Abs. 1 DSG-EKD. Aber die Bausteine kommen von ihm: Zwecke, Datenkategorien, Empfänger, Drittlandbezug, Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Nach § 31 Abs. 2 DSG-EKD führt der Auftragsverarbeiter zusätzlich ein eigenes Verzeichnis. Fragt danach, das spart euch einen halben Tag Tipparbeit.

6. Eure eigene Prüfpflicht

Im evangelischen Bereich steht die Pflicht ausdrücklich im Gesetz (§ 30 Abs. 3 Sätze 3 und 4 DSG-EKD). Im katholischen ergibt sie sich aus § 29 Abs. 1 KDG — ihr dürft nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien bieten — in Verbindung mit der Rechenschaftspflicht aus § 7 Abs. 2 KDG; die Nachweise dafür schuldet euch der Anbieter nach § 29 Abs. 4 lit. h KDG. Ihr müsst euch von den Maßnahmen des Anbieters überzeugen und das dokumentieren. Ein Anbieter, der euch dafür eine fertige, druckbare Übersicht liefert, spart euch diesen Termin nicht — aber er macht ihn zu einer halben Stunde statt zu einem halben Tag.

Diese sechs Punkte an einem echten System abhaken

Eine Prüfliste beantwortet sich am schnellsten am Original. Im Testzugang (30 Tage, eigener abgetrennter Bereich mit eigener Datenbank, ohne Zahlungsdaten) sind der AVV-Wortlaut, die Unterauftragnehmer-Liste, die technischen und organisatorischen Maßnahmen und das druckbare Prüf-Dossier in der Anwendung einsehbar, bevor ihr etwas unterschreibt. Serverstandort, Mandantentrennung und Export könnt ihr damit selbst nachsehen, statt sie euch zusagen zu lassen.

Ehrlich dazu: Für den Zugang braucht es Name und E-Mail-Adresse, dann eine Bestätigungsmail — mehr nicht. Und was heute fehlt, steht ungeschönt im nächsten Abschnitt, nicht im Kleingedruckten. Wenn ihr nur den kirchlichen AVV klären wollt, geht das auch ohne Test: kontakt@lotsana.de. Die Vertragsinhalte selbst prüft ihr am besten gegen unsere AVV-Checkliste für soziale Träger. → Testzugang ansehen

Was Lotsana heute hat — und was nicht

Hier wird es unbequem, deshalb steht es ausdrücklich da.

Was da ist:

Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, Version 1.4, Stand 4. August 2026. Er wird in der Anwendung elektronisch geschlossen; Zeitpunkt, abschließende Person und Vertragsversion werden protokolliert, beide Seiten bekommen ein PDF.
Verarbeitung in Deutschland: Serverbetrieb im Rechenzentrum Falkenstein, verschlüsselte Sicherungskopien zusätzlich in einem zweiten EU-Rechenzentrum in Helsinki. Die Sicherung wird verschlüsselt, bevor sie den Server verlässt.
Offene Unterauftragnehmer-Liste inklusive der beiden US-Dienste: Stripe für die Zahlungsabwicklung auf Betreiberebene (keine Klienten- oder Falldaten) und Anthropic für die optionalen KI-Funktionen, beide mit EU-Standardvertragsklauseln.
KI ist je Träger standardmäßig aus und muss bewusst freigeschaltet werden; die Pseudonymisierung vor Übermittlung ist standardmäßig an: Klientennamen, Anschriften, Geburtsdaten, Kostenträger und Kontaktdaten werden durch Platzhalter ersetzt und in der Antwort lokal wieder zurückübersetzt. Namen Dritter im Freitext erkennt das musterbasierte Verfahren nicht, und der Schlüssel für die Rückübersetzung liegt auf unserem Server. Es bleibt deshalb eine Pseudonymisierung und wird nicht als Anonymisierung ausgewiesen. Die Diktatfunktion läuft über ein selbst gehostetes Modell auf dem eigenen Server in Deutschland, dabei geht nichts an externe KI-Anbieter.
Meldung von Verletzungen an euch unverzüglich, spätestens binnen 24 Stunden nach Bekanntwerden — damit bleibt euch Zeit für eure eigene Meldung an die kirchliche Aufsicht.
Mandantentrennung: je Träger eine eigene Instanz mit eigener Datenbank und eigenem Dateispeicher. Das adressiert genau den Risikopunkt „gemeinsame Nutzung der Cloud-Infrastruktur" aus § 18 Abs. 2 KDG-DVO.
Vollständiger Selbstbedienungs-Export: Datenbestand und Dateien als ZIP, jederzeit selbst herunterladbar, auf Wunsch mit eigenem Passwort AES-256-verschlüsselt. Damit lässt sich eine Exit-Strategie nach § 18 Abs. 3 KDG-DVO belegen, ohne uns fragen zu müssen.
Prüf-Dossier: eine druckbare Seite mit den technischen und organisatorischen Maßnahmen, den Unterauftragnehmern, dem AVV-Stand, der Zwei-Faktor-Quote und dem Stand des Audit-Protokolls — gedacht für genau den Termin aus Punkt 6 oben.
Lückenloses Audit-Protokoll mit Hash-Kette, Rollen- und Rechtekonzept, Löschkonzept mit Löschprotokoll.

Was nicht da ist — Stand heute:

Keine KDG- oder DSG-EKD-Fassung des AVV. Der Vertrag ist auf Art. 28 DSGVO geschrieben und nimmt weder auf das KDG noch auf das DSG-EKD Bezug. Für den evangelischen Bereich ist ein an Art. 28 DSGVO orientierter Vertrag nach § 30 Abs. 5 DSG-EKD ausdrücklich zulässig. Für den katholischen Bereich fehlt der pauschale Verweis auf das KDG, den die Konferenz der Diözesandatenschutzbeauftragten beschlossen hat. Wenn ihr aus dem katholischen Bereich kommt und das braucht, sagt es — es ist Textarbeit, keine Softwareänderung.
Der AVV ist Entwurfsstand. Die anwaltliche Freigabe steht aus. Das steht hier, weil ihr es vor der Prüfung wissen solltet, nicht danach.
Der elektronische Abschluss ist für das KDG nicht geklärt. § 29 Abs. 9 KDG verlangt Schriftform und verweist für die Ersetzung durch elektronische Form oder Textform auf die jeweils geltenden staatlichen Regelungen. Ob unser Klick-Abschluss mit Protokoll dafür genügt, ist eine offene Rechtsfrage. Im Zweifel zeichnet den AVV zusätzlich auf Papier oder fragt eure Aufsicht. Für den evangelischen Bereich ist die Lage klarer: § 30 Abs. 3 Satz 2 DSG-EKD verlangt seit der Neufassung nur noch Textform.
Kein Verzeichnis von Verarbeitungstätigkeiten in der Software. Ihr bekommt die Bausteine, das Verzeichnis führt ihr selbst.
Keine kirchliche Zertifizierung, keine genehmigten Verhaltensregeln. § 29 Abs. 6 KDG und § 30 Abs. 8 DSG-EKD lassen beides als Nachweismittel zu — wir haben es nicht.
Keine Referenzen. Lotsana ist neu, es gibt keine Liste kirchlicher Träger, die das schon nutzen. Prüft es in den 30 Testtagen statt einer Referenzliste zu glauben.

Häufige Fragen

Gilt für unsere gGmbH die DSGVO oder das kirchliche Datenschutzrecht?

Die Rechtsform entscheidet nicht. § 3 Abs. 1 KDG erfasst den Deutschen Caritasverband, die Diözesan-Caritasverbände, ihre Untergliederungen und Fachverbände sowie sonstige kirchliche Rechtsträger ausdrücklich „ohne Rücksicht auf ihre Rechtsform". § 2 Abs. 1 DSG-EKD erfasst die den evangelischen Kirchen „zugeordneten kirchlichen und diakonischen Dienste, Einrichtungen und Werke ohne Rücksicht auf deren Rechtsform". Eine diakonische gGmbH fällt also unter das DSG-EKD, eine Caritas-gGmbH unter das KDG. Umgekehrt gilt: Ein freier Träger, der keiner Kirche und keinem kirchlichen Verband zugeordnet ist, bleibt bei DSGVO und BDSG, auch wenn er ein christliches Leitbild hat. Im Zweifel klärt das euer Verband oder die zuständige kirchliche Aufsicht.

Reicht ein normaler DSGVO-Auftragsverarbeitungsvertrag?

Im evangelischen Bereich ja, wenn das kirchliche Datenschutzrecht auf den Dienstleister selbst nicht anwendbar ist: § 30 Abs. 5 DSG-EKD erlaubt dann ausdrücklich, dass sich die Vertragsinhalte an Art. 28 DSGVO orientieren. Im katholischen Bereich ist § 29 KDG die Grundlage; der Vertrag kann nach § 29 Abs. 3 KDG auf kirchlichem, staatlichem oder europäischem Recht beruhen. Nach einem Beschluss der Konferenz der Diözesandatenschutzbeauftragten soll in einen an der DSGVO orientierten Vertrag aber zumindest ein pauschaler Verweis auf das kirchliche Datenschutzgesetz aufgenommen werden; die Diözesen stellen dafür Zusatzvereinbarungen bereit. Prüft in beiden Fällen inhaltlich gegen den jeweiligen Katalog, nicht nur nach Überschrift.

Muss unser Softwareanbieter eine Unterwerfungserklärung unterschreiben?

Im evangelischen Bereich nicht mehr. Der alte § 30 Abs. 5 Satz 3 DSG-EKD verlangte, dass sich der Auftragsverarbeiter der kirchlichen Datenschutzaufsicht unterwirft; dafür gab es eine Zusatzerklärung des Beauftragten für den Datenschutz der EKD. Mit dem am 1. Mai 2025 in Kraft getretenen neuen DSG-EKD ist dieser Satz gestrichen, und der BfD EKD hat den Wegfall am 8. Mai 2025 selbst bekannt gegeben und seinen Mustervertrag auf Version 3.0 umgestellt. Wer euch 2026 noch eine Unterwerfungserklärung nach § 30 Abs. 5 DSG-EKD vorlegt, arbeitet mit einer alten Vorlage. Im katholischen Bereich gab es diese Konstruktion im KDG ohnehin nicht: Dort bindet ihr einen nicht-kirchlichen Anbieter über den Vertrag, der nach § 29 Abs. 4 lit. h KDG Nachweise und Überprüfungen einschließlich Inspektionen vorsehen muss.

An wen meldet ein kirchlicher Träger eine Datenpanne?

An die kirchliche Datenschutzaufsicht, nicht an die Landesdatenschutzbehörde. Katholisch: § 33 Abs. 1 KDG verlangt die unverzügliche Meldung, und wenn sie nicht binnen 72 Stunden erfolgt, ist eine Begründung für die Verzögerung beizufügen. Evangelisch: § 32 Abs. 1 DSG-EKD verlangt die unverzügliche Meldung, wenn die Verletzung voraussichtlich zu einem nicht unerheblichen Risiko für die Rechte natürlicher Personen führt; eine feste 72-Stunden-Frist steht dort nicht im Gesetz. In beiden Fällen gilt: Der Auftragsverarbeiter meldet euch, ihr meldet der Aufsicht. Deshalb gehört eine kurze Meldefrist des Anbieters in den Vertrag.

Darf eine kirchliche Einrichtung Fachsoftware als Cloud-Dienst nutzen?

Ja, aber im katholischen Bereich unter Bedingungen, die seit der Novelle ausdrücklich im Gesetz stehen. § 18 KDG-DVO verlangt, primär bereits geprüfte und freigegebene Cloud-Dienste zu nutzen, vor der Nutzung anderer Dienste eine Risikoprüfung anhand eines Katalogs durchzuführen und je nach Ergebnis vorab eine Exit-Strategie zu definieren, zum Beispiel Datenlöschung oder Datenübertragung. Genannt werden unter anderem unzureichend gesicherte administrative Zugänge, mangelnde Portabilität, herstellerspezifische Datenformate, die gemeinsame Nutzung der Infrastruktur durch mehrere Kunden und Unkenntnis über den Speicherort. Praktisch heißt das: Klärt Export und Wechselmöglichkeit, bevor ihr unterschreibt, nicht erst beim Ausstieg.

Wenn ihr aus dem kirchlichen Bereich kommt, ist die Datenschutzprüfung nicht der letzte Schritt vor dem Kauf, sondern der erste. Lotsana legt die Karten deshalb vor der Testphase auf den Tisch: AVV-Wortlaut, Unterauftragnehmer, technische und organisatorische Maßnahmen und ein druckbares Prüf-Dossier sind in der Anwendung einsehbar, bevor ihr etwas unterschreibt. 30 Tage kostenlos testen — Preise stehen auf der Preisseite. Fragen zum kirchlichen AVV: kontakt@lotsana.de.

Weiterlesen

Quellen (abgerufen 05.08.2026)

Gesetz über den Kirchlichen Datenschutz (KDG), Lesefassung in der Fassung des VDD-Beschlusses vom 24.11.2025 (PDF) (dbk.de) — Präambel, §§ 2, 3, 26, 29, 31, 33, 36, 42, 45, 47, 49b, 51
Durchführungsverordnung zum KDG (KDG-DVO), Lesefassung in der Fassung des VDD-Beschlusses vom 24.11.2025 (PDF) (dbk.de) — § 18 Nutzung von Cloud-Diensten
EKD-Datenschutzgesetz (DSG-EKD), Neufassung vom 15.01.2025 (ABl. EKD S. 1) (kirchenrecht-ekd.de) — Präambel, §§ 2, 30, 30a, 31, 32, 36, 39, 45, 54
Amtsblatt der EKD Nr. 1/2025 vom 15.01.2025 (PDF) (kirchenrecht-ekd.de) — Bekanntmachung des DSG-EKD
Synopse und Begründung zur Neufassung des DSG-EKD (PDF) (kirchenrecht-ekd.de) — u. a. zur Streichung in § 30 Abs. 5
Der Beauftragte für den Datenschutz der EKD: „Zusatzerklärung beim AV-Vertrag fällt weg" (08.05.2025) (datenschutz.ekd.de) — kirchliche Aufsichtsbehörde
Der Beauftragte für den Datenschutz der EKD: Mustervertrag zur Auftragsverarbeitung (neues Recht), Version 3.0, gültig ab 01.05.2025 (datenschutz.ekd.de) — kirchliche Aufsichtsbehörde
Katholisches Datenschutzzentrum Dortmund: VDD beschließt KDG-Novellierung (22.12.2025, aktualisiert 22.01.2026) (katholisches-datenschutzzentrum.de) — kirchliche Aufsichtsbehörde; geplantes Inkrafttreten zum 01.03.2026 und Erlass durch die Diözesanbischöfe
Konferenz der Diözesandatenschutzbeauftragten: Zuständigkeiten der katholischen Datenschutzaufsichten (katholisches-datenschutzzentrum.de) — kirchliche Aufsichtsbehörde
Bischöfliches Ordinariat Rottenburg-Stuttgart, Stabsstelle Datenschutz: Auftragsverarbeitung nach § 29 KDG (datenschutz.drs.de) — kirchliche Stelle; dort der pauschale KDG-Verweis bei DSGVO-Verträgen nicht-kirchlicher Dienstleister „gemäß Beschluss der Konferenz der Diözesandatenschutzbeauftragten"
Bundesbeauftragter für den Datenschutz und die Informationsfreiheit: Anschriften der kirchlichen Datenschutzaufsichten (bfdi.bund.de)
Verordnung (EU) 2016/679 (DSGVO), Art. 28 und Art. 91, Erwägungsgrund 165 (eur-lex.europa.eu)
Art. 140 Grundgesetz (gesetze-im-internet.de) — Fortgeltung der Art. 136 bis 139 und 141 WRV
katholisch.de: „Kirche veröffentlicht neues Datenschutzrecht — Reform des KDG ist da" (katholisch.de) — Sekundärquelle, Portal der katholischen Kirche in Deutschland; Einordnung der Novelle

Stand: 12. August 2026. Dieser Artikel ist eine Arbeitshilfe, keine Rechtsberatung. Kirchliches Datenschutzrecht ändert sich derzeit schnell, und das KDG wird von jedem (Erz-)Bistum einzeln in Kraft gesetzt — welche Fassung bei euch gilt, sagt euch euer Amtsblatt oder eure Datenschutzaufsicht. Verbindlich sind die amtlichen Texte und die Auskunft der zuständigen kirchlichen Aufsicht. Angaben ohne Gewähr.