Datenschutz bei KI: Was DSGVO, KDG und DSG-EKD für soziale Träger bedeuten

Welche Regeln gelten, wenn Sozialdaten mit KI verarbeitet werden, was sich 2025 und 2026 im kirchlichen Datenschutz geändert hat und was Träger vor dem Start klären sollten.

Nicola RitterVeröffentlicht am 3. Februar 2026 · Aktualisiert am 12. November 2026 · 8 Min. Lesezeit

Das Wichtigste in Kürze

Für die meisten Träger gilt die DSGVO, für kirchliche Träger das KDG (katholisch) oder das DSG-EKD (evangelisch). Beide kirchlichen Gesetze wurden 2025 und 2026 überarbeitet.
Gesundheitsdaten sind besonders geschützt. Für Sozialdaten gelten zusätzlich Regeln aus dem Sozialgesetzbuch, für viele Fachkräfte außerdem die Schweigepflicht.
Vor dem KI-Einsatz braucht es einen Vertrag zur Auftragsverarbeitung und oft eine Datenschutz-Folgenabschätzung.
Namen weglassen reicht meist nicht: Auch ohne Namen kann eine Person erkennbar sein.

Welches Gesetz gilt für Ihren Träger?

Übersicht: DSGVO, KDG und DSG-EKD und wer jeweils zuständig ist — Die kirchlichen Gesetze orientieren sich eng an der DSGVO, haben aber eigene Aufsichtsbehörden.

Inhaltlich sind die drei Gesetze sehr ähnlich. Unterschiede gibt es vor allem bei der Aufsicht: Kirchliche Träger wenden sich an die kirchlichen Datenschutzaufsichten, nicht an die Landesbehörden.

Beide kirchlichen Gesetze wurden zuletzt überarbeitet und noch stärker an die DSGVO angeglichen: Das DSG-EKD zum 1. Mai 2025, das KDG zum 1. März 2026. Mit der KDG-Novelle stieg unter anderem die Obergrenze für Bußgelder von 500.000 auf 1 Million Euro. Neu ist auch, dass Ehrenamtliche, die personenbezogene Daten verarbeiten, ausdrücklich auf das Datengeheimnis verpflichtet werden müssen.

Was zusätzlich für Sozialdaten gilt

Informationen zu Gesundheit oder Behinderung zählen nach Art. 9 DSGVO zu den besonders geschützten Daten. Wer Sozialdaten von Leistungsträgern erhält oder in deren Auftrag arbeitet, muss außerdem das Sozialgeheimnis beachten (§ 35 SGB I, §§ 67 ff. SGB X). Viele Fachkräfte unterliegen zudem der Schweigepflicht nach § 203 StGB.

Für Jugendämter und andere Sozialleistungsträger regelt § 80 SGB X außerdem, wo Sozialdaten im Auftrag verarbeitet werden dürfen: Nur in Deutschland, der EU oder in Staaten mit Angemessenheitsbeschluss.

Mehr zum HostingKI in der Sozialwirtschaft: DSGVO-Risiken durch den US Cloud Act→

Reicht es, Namen wegzulassen?

Viele Fachkräfte ersetzen Namen durch Initialen und halten die Daten damit für anonym. Das stimmt meist nicht. Alter, Wohnort, Diagnose und Familiensituation zusammen machen eine Person oft trotzdem erkennbar, vor allem in kleinen Orten oder Einrichtungen. Dann handelt es sich um pseudonymisierte Daten, und die DSGVO gilt weiter.

Anonym sind Daten erst, wenn niemand mehr mit vertretbarem Aufwand auf die Person schließen kann. Für die Dokumentation ist das kaum möglich, denn sie soll ja gerade einer bestimmten Person zugeordnet sein. Deshalb gehören auch gekürzte Fallbeschreibungen nur in Tools mit Vertrag zur Auftragsverarbeitung.

Checkliste vor dem KI-Einsatz

Checkliste mit sechs Punkten vor dem KI-Einsatz — Sechs Punkte, die Sie vor dem Start klären sollten.

Eine gute Grundlage für die Prüfung ist die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ der Datenschutzkonferenz vom Mai 2024. Sie richtet sich an Unternehmen, Behörden und andere Organisationen und führt durch Auswahl, Einführung und Nutzung von KI-Anwendungen.

Eine Datenschutz-Folgenabschätzung ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen hat. Das ist laut DSGVO insbesondere bei der umfangreichen Verarbeitung von Gesundheitsdaten der Fall. Wer KI für die Dokumentation vieler Klient:innen einsetzt, sollte deshalb mit einer Folgenabschätzung rechnen und sie gemeinsam mit der oder dem Datenschutzbeauftragten erstellen.

Aus der Praxis

Datenschutzbeauftragte sind selten gegen KI, sondern gegen unklare KI. Wer früh einen Vertrag, eine Beschreibung der Datenflüsse und eine Liste der Unterauftragnehmer vorlegen kann, kommt meist schnell voran.

Häufige Fragen

Dürfen wir Klientennamen in ChatGPT eingeben?

In die frei verfügbare Version nicht. Personenbezogene Daten gehören nur in Tools mit Vertrag zur Auftragsverarbeitung und geprüfter Rechtsgrundlage. Auch Business-Versionen mit Vertrag unterliegen als US-Anbieter dem Cloud Act.

Reicht es, Namen wegzulassen?

Meist nicht. Auch ohne Namen kann eine Person über Alter, Wohnort, Diagnose oder Familiensituation erkennbar sein. Dann gilt der Datenschutz weiter.

Müssen Klient:innen dem KI-Einsatz zustimmen?

In der Regel nicht, wenn das Tool als Auftragsverarbeiter mit Vertrag arbeitet. Sie müssen aber informieren: „KI-Dienstleister“ sollte als eigene Empfängerkategorie in den Datenschutzhinweisen stehen.

Brauchen wir eine Datenschutz-Folgenabschätzung?

Oft ja. Bei umfangreicher Verarbeitung von Gesundheitsdaten verlangt die DSGVO sie ausdrücklich, und die kirchlichen Gesetze enthalten entsprechende Regeln. Klären Sie das früh mit Ihrer oder Ihrem Datenschutzbeauftragten.

Wer ist bei kirchlichen Trägern zuständig?

Bei katholischen Trägern die Diözesandatenschutzbeauftragten, bei evangelischen Trägern in der Regel der Beauftragte für den Datenschutz der EKD. Die staatlichen Landesbehörden sind für kirchliche Einrichtungen nicht zuständig.

Gilt der kirchliche Datenschutz auch für gGmbHs von Caritas und Diakonie?

In der Regel ja, wenn die Einrichtung der Kirche zugeordnet ist. Im Zweifel klärt das die zuständige kirchliche Datenschutzaufsicht.

Quellen

Dieser Artikel gibt einen Überblick und ersetzt keine Rechtsberatung. Stand: November 2026.

Über die Autorin

Nicola Ritter

Ich habe CloudPal gegründet und bin Ihre direkte Ansprechpartnerin. Studiert habe ich Maschinenwesen, nebenbei habe ich viele Jahre im ambulanten Pflegedienst gearbeitet. Ich weiß also, wie viel Zeit Dokumentation im Alltag kostet. Seit 2022 arbeite ich mit KI und schule und begleite heute soziale Organisationen dabei, sie sinnvoll einzusetzen.