KI-generiertKirchliche Träger und ihre Einrichtungen unterliegen dem KDG oder dem DSG-EKD, mit eigener Aufsicht und eigenen Gerichten. Wer nur DSGVO-Konformität nachweist, erfüllt die Anforderung nicht, auch wenn sich die Regelwerke stellenweise gleichen. Die meisten Anbieter merken das erst, wenn der Diözesandatenschutzbeauftragte oder die EKD-Aufsicht nachfragt.
Beim KI-Einsatz wird der Unterschied konkret. Ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO kann eine Grundlage sein, muss aber gegen Paragraf 29 KDG beziehungsweise Paragraf 30 DSG-EKD geprüft werden, samt der gesamten Kette der Unterauftragsverarbeiter. Und die Regelwerke bewegen sich. Das novellierte DSG-EKD gilt seit dem 1. Mai 2025, die neue Fassung des KDG samt Durchführungsverordnung seit dem 1. März 2026. Weil das katholische Datenschutzrecht von den einzelnen Diözesen in Kraft gesetzt wird, ist gesondert festzustellen, welche Fassung für Ihren Träger gilt. Die Anforderungen an Auftragsverarbeitung und Drittstaatenübermittlung haben sich dabei verändert, und die neue Durchführungsverordnung enthält erstmals eigene Vorgaben für Cloud-Dienste, darunter eine Risikobewertung und eine Exit-Strategie. Was daraus für einen konkreten Anbieter folgt, klären wir am Anfang, nicht am Ende.
Der geordnete Weg beginnt deshalb nicht beim Werkzeug, sondern beim Recht: klären, welches Regelwerk für Ihren Träger gilt, die gesamte Anbieterkette dagegen prüfen, Freigaben dokumentieren. Rechtsberatung geben wir dabei nicht, wir schaffen die technischen und organisatorischen Voraussetzungen, auf deren Grundlage Ihr Träger den KI-Einsatz sauber gestalten kann. Die Werkzeuge dafür betreiben wir selbst im Produktivbetrieb.
auraPress bringt Ihre Kommunikation vom Entwurf bis zur freigegebenen Meldung, mit dokumentierten Freigabewegen. auraHub gibt Mitarbeitenden in Verwaltung, Pressestelle und Einrichtungen einen kontrollierten Zugang zu KI, statt jeden auf eigene Faust arbeiten zu lassen. Wir prüfen die Verarbeitung gegen das Recht, das für Ihren Träger tatsächlich gilt, und halten fest, warum sie so aussieht.
Der Weg vom Recht zum Werkzeug
Regelwerk feststellen
Zuerst wird geklärt, welches Recht für Ihren Träger tatsächlich gilt, KDG oder DSG-EKD, und im katholischen Bereich in welcher Fassung. Weil das katholische Datenschutzrecht von den einzelnen Diözesen in Kraft gesetzt wird, ist das keine Formalie, sondern der Ausgangspunkt für alles Weitere.
Anbieterkette prüfen
Der Auftragsverarbeitungsvertrag wird gegen die einschlägige Vorschrift geprüft, nicht nur gegen Artikel 28 DSGVO. Dazu gehört die gesamte Kette der Unterauftragsverarbeiter, nicht nur der Anbieter, mit dem Sie den Vertrag schließen. Die neue Durchführungsverordnung enthält eigene Vorgaben für Cloud-Dienste, darunter eine Risikobewertung und eine Exit-Strategie.
Freigaben dokumentieren
Was am Ende zählt, ist nicht die Zusicherung des Anbieters, sondern der Nachweis, warum die Verarbeitung so aussieht, wie sie aussieht. Diesen Nachweis halten wir fest, bevor das erste System läuft.
Was diese Werkzeuge nicht leisten
Zu einem ehrlichen Bild gehört, was auraPress und auraHub nicht übernehmen.
Keine Rechtsberatung und keine Auslegung des KDG oder DSG-EKD für Ihren Träger. Wir schaffen die technischen und organisatorischen Voraussetzungen, die rechtliche Bewertung bleibt bei Ihnen und Ihrem Datenschutzbeauftragten.
Keine Feststellung, welche Fassung des KDG Ihre Diözese in Kraft gesetzt hat. Das klären wir gemeinsam mit Ihnen, aber die Feststellung trifft Ihr Haus.
Keine Verarbeitung besonderer Kategorien personenbezogener Daten ohne gesonderte Prüfung. Seelsorgedaten und Daten aus der Betreuungsarbeit gehören nicht in ein allgemeines KI-System.
Keine automatische Veröffentlichung. Freigegeben wird von Menschen in Ihrem Haus.
Häufige Fragen aus der Branche
Reicht unser DSGVO-Auftragsverarbeitungsvertrag auch für die kirchliche Einrichtung?
Nicht automatisch. Für katholische Träger gilt Paragraf 29 KDG, und die katholische Aufsichtspraxis verlangt einen ausdrücklichen Bezug auf das kirchliche Recht im Vertrag oder in einer Zusatzvereinbarung, dazu Details wie die vertragliche Festschreibung der Verzeichnispflicht nach Paragraf 31 Absatz 2 KDG. Im evangelischen Bereich ist es seit der DSG-EKD-Novelle vom Mai 2025 einfacher: Verträge dürfen sich an Artikel 28 DSGVO orientieren, die früher verlangte Unterwerfungserklärung ist entfallen. Welcher Fall bei Ihnen vorliegt, klären wir mit Ihrem Datenschutzbeauftragten, bevor ein Werkzeug zum Einsatz kommt.
Dürfen wir KI-Dienste nutzen, deren Anbieter in den USA sitzen?
Das entscheidet nicht der Unternehmenssitz. Maßgeblich ist, welche Rechtsfassung für Ihren Träger gilt, wo und durch wen verarbeitet wird und von welchen Staaten aus zugegriffen werden kann. Bis zur Novelle war Auftragsverarbeitung außerhalb der EU und des EWR nach Paragraf 29 Absatz 11 KDG grundsätzlich nur bei einem Angemessenheitsbeschluss oder einer Feststellung der Datenschutzaufsicht zulässig, Standardvertragsklauseln genügten dafür nicht. Diese besondere Beschränkung enthält die neue Fassung nicht mehr, es gelten die allgemeinen Anforderungen an Drittstaatenübermittlungen. Die können auf einem Angemessenheitsbeschluss beruhen, bei US-Anbietern etwa auf einer wirksamen Zertifizierung unter dem EU-U.S. Data Privacy Framework, oder auf geeigneten Garantien wie Standardvertragsklauseln. Ob diese im Einzelfall ausreichen und ob ergänzende Maßnahmen nötig sind, gehört gesondert geprüft, ebenso die gesamte Kette bis zum letzten Unterauftragsverarbeiter. Weil die Diözesen einzeln umsetzen, klären wir zuerst Ihre Fassung und stimmen die Bewertung mit Ihrem betrieblichen Datenschutzbeauftragten ab.
Welche Daten sollten wir nicht in ein KI-System eingeben?
Das legt Ihr Träger fest, nicht das Werkzeug. Besonders geschützt sind Informationen aus Seelsorge und Beratung, Gesundheitsdaten, Personalunterlagen sowie Daten von Kindern und hilfebedürftigen Personen. Vor der Freigabe eines Anwendungsfalls definieren wir gemeinsam Datenklassen und halten fest, was ausgeschlossen bleibt, was anonymisiert wird und was nur in besonders geschützten Prozessen verarbeitet werden darf. Diese Festlegung ist zugleich das Dokument für Ihre Datenschutzaufsicht.
Unsere Mitarbeitenden nutzen längst KI, nur eben privat. Was tun?
Einen kontrollierten Weg anbieten statt weiter zu verbieten. auraHub gibt Verwaltung, Pressestelle und Einrichtungen Zugang zu mehreren Sprachmodellen, mit Rollen, Rechten und Protokoll, und vorab ist festgelegt, welche Daten das Haus verlassen dürfen. Das private Ausweichen verliert seinen Grund, und Ihre Datenschutzaufsicht bekommt statt einer Grauzone einen dokumentierten Prozess.
Womit fangen wir an?
Mit der Frage, welches Recht überhaupt gilt. Träger, Werke und Beteiligungen einer Einrichtung können unterschiedlichen Regelwerken unterliegen, KDG, DSG-EKD oder DSGVO. Wir klären das gemeinsam schriftlich, prüfen die vorhandenen Werkzeuge dagegen und legen fest, wo KI vorbereiten darf und wo die Freigabe zwingend bei Ihren Leuten bleibt. Erst danach kommt Technik ins Haus.
Passende Produkte
auraPress
Vom Briefing bis zur freigegebenen Meldung, mit vollständiger Versionshistorie. Entstanden mit newslive, der Medienbeobachtung unserer Gruppe.
(öffnet in neuem Tab)ArbeitsplatzauraHub
Kontrollierter Zugang zu mehreren Sprachmodellen, mit Rollen, Rechten und Protokoll. Beendet Schatten-KI in der Organisation.
(öffnet in neuem Tab)Und wenn ein Prozess in Ihrer Einrichtung anders läuft, bauen wir das Werkzeug dafür.
Weiterlesen
Vertiefend im Blog: was Paragraf 203 StGB für den Einsatz von Cloud-KI bedeutet und wie sich Medienbeobachtung über drei Epochen verändert hat.
Erzählen Sie uns, woran es bei Ihnen hakt.
Dreißig Minuten, Sie schildern den Prozess, wir sagen Ihnen, welches Werkzeug passt und was es bringt. Und wenn sich Automatisierung an dieser Stelle nicht lohnt, sagen wir Ihnen das auch. Keine Präsentation, kein Verkaufsgespräch.