KI-Schulung für Diakonie, Caritas und kirchliche Träger: Warum die Standard-Fortbildung am falschen Gesetz vorbeischult

Korrektur vom 13. August 2026. Die Mitbestimmungsvorschrift wird hier jetzt als § 40 Buchstabe k MVG-EKD zitiert, zuvor stand hier „Nr. 11”. Der Katalog des § 40 ist mit Buchstaben gegliedert. Wortlaut und Aussage sind unverändert.

Aktualisierung vom 29. Juli 2026. Seit dem 27. Juli 2026 gilt die Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744). Sie hat Artikel 4 der KI-Verordnung neu gefasst: Geschuldet ist seither, die Entwicklung der KI-Kompetenz zu unterstützen, nicht mehr ein ausreichendes Maß an Kompetenz sicherzustellen. Die Beschreibung von Artikel 4 im folgenden Abschnitt und die Angabe zur Durchsetzung ab dem 2. August 2026 geben deshalb den Stand vor dieser Änderung wieder. Am Kern dieses Artikels ändert sich nichts, im Gegenteil: Die Schulungs- und Unterrichtungspflichten aus KDG und DSG-EKD sind von der Änderung nicht berührt und damit noch deutlicher der maßgebliche Rahmen für kirchliche Träger. Die Einzelheiten stehen in der Ausgabe Der AI Act nach dem Digital Omnibus.

Das Katholische Datenschutzzentrum Bayern (KDSZ Bayern), die gemeinsame Datenschutzaufsicht der bayerischen (Erz-)Diözesen, hat im Juli 2026 seinen knapp 170 Seiten starken Tätigkeitsbericht 2025 vorgelegt. Neben Praxisbeispielen, Audits und einer Checkliste für Datenpannen widmet der Bericht der KI-Verordnung ein eigenes Kapitel, und dort steht ein Satz, den Träger ernst nehmen sollten:

„Eine der ersten unmittelbar geltenden Verpflichtungen betrifft seit Februar 2025 die Sicherstellung einer angemessenen KI-Kompetenz.” (Tätigkeitsbericht 2025, S. 33)

Gemeint ist Art. 4 der KI-Verordnung: Anbieter und Betreiber von KI-Systemen müssen geeignete Maßnahmen treffen, damit die mit Entwicklung, Betrieb oder Nutzung befassten Personen über ausreichende Kenntnisse und Fähigkeiten verfügen. Einheitliche Schulungen oder Zertifikate schreibt die Verordnung nicht vor; der Umfang richtet sich nach den Aufgaben der Mitarbeitenden. Die Aufsicht zieht daraus eine praktische Empfehlung: vorhandene Strukturen für Pflichtschulungen nutzen, bestehende Schulungs- und Sensibilisierungskonzepte weiterentwickeln, und dabei Datenschutz und KI-Kompetenz verzahnen:

„Im Rahmen der KI-Kompetenz sollten Mitarbeitende daher auch für datenschutzrechtliche Fragestellungen sensibilisiert werden.” (Tätigkeitsbericht 2025, S. 34)

Dazu passt der Zeitplan: Nach der offiziellen Timeline der EU-Kommission beginnt am 2. August 2026 die Durchsetzung der KI-Verordnung auf nationaler und EU-Ebene, ausdrücklich auch für die KI-Kompetenz-Pflicht.

Die naheliegende Reaktion vieler Träger: eine KI-Schulung einkaufen. Davon gibt es inzwischen reichlich. Fast alle haben für kirchliche und diakonische Einrichtungen denselben blinden Fleck.

Das falsche Gesetz

Praktisch jede KI-Fortbildung am Markt erklärt den Rechtsrahmen mit der DSGVO. Für Diakonie, Caritas, kirchliche Krankenhäuser und Kitas ist das schlicht das falsche Gesetz. Diese Einrichtungen unterliegen dem kirchlichen Datenschutzrecht: dem KDG auf katholischer Seite (frisch novelliert; die neue Durchführungsverordnung KDG-DVO gilt seit dem 1. März 2026) und dem DSG-EKD auf evangelischer Seite.

Das ist kein akademischer Unterschied. Drei Beispiele, die in eine Schulung gehören und in generischen Kursen fehlen:

1. Ohne Klassifizierung gilt automatisch die strengste Klasse. Die KDG-DVO verlangt, dass Verarbeitungstätigkeiten einer Datenschutzklasse zugeordnet werden, und regelt den Unterlassensfall gleich mit:

„Erfolgt keine Einordnung, gilt automatisch die Datenschutzklasse III, sofern nicht die Voraussetzungen des § 14 vorliegen.” (§ 9 Abs. 5 KDG-DVO)

Datenschutzklasse III ist die höchste reguläre Schutzklasse. Die meisten Einrichtungen haben nie klassifiziert. Damit behandeln sie, rechtlich gesehen, jede KI-Anwendung so, als ginge es um die sensibelsten Daten im Haus, mit entsprechenden Anforderungen an die technischen Maßnahmen.

2. Seelsorgedaten sind eine eigene Kategorie. Für Daten unter dem Beichtgeheimnis ist die Rechtslage absolut: Sie „dürfen nicht verarbeitet werden” (§ 14 KDG-DVO). Für Daten unter dem Seelsorgegeheimnis verlangt dieselbe Vorschrift Maßnahmen oberhalb der höchsten Schutzklasse und nennt als Beispiel ausdrücklich „die Unterhaltung eines eigenen Servers bzw. einer eigenen Datenablage in einem Netzwerk ohne externe Datenverbindung”. Wer einer Klinikseelsorge ein Cloud-KI-Tool empfiehlt, hat diese Vorschrift nicht gelesen. Welche Architektur zu welcher Datenklasse passt, behandelt die Ausgabe zur Frage Cloud oder eigener Server.

3. Ohne die MAV geht es nicht. KI-Werkzeuge, die geeignet sind, Verhalten oder Leistung von Mitarbeitenden auszuwerten, sind mitbestimmungspflichtig, im evangelischen Bereich schon nach dem Gesetzeswortlaut („geeignet”, § 40 Buchstabe k MVG-EKD), und dazu reicht oft ein Protokoll- oder Statistik-Feature. Eine Schulung, die die Mitarbeitendenvertretung nicht mitdenkt, produziert Projekte, die in Monat zwei blockiert werden. Ausführlich in der Ausgabe zur Mitbestimmung.

Dazu kommt: Die kirchlichen Aufsichten schauen bereits hin. Der kirchenrechtliche Fachbeobachter Felix Neumann berichtet vom Katholikentag 2026 aus Gesprächen mit Aufsichtsvertretern über technische Prüfungen von KI-Systemen und über steigende Beschwerdezahlen durch KI-Unterstützung (KI-Werkzeuge senken die Hürde, eine Beschwerde zu formulieren, auch gegen die eigene Einrichtung). Eigene KI-Leitlinien einer kirchlichen Aufsicht gibt es dagegen bis heute nicht. Die Verantwortung, es richtig zu machen, liegt im Moment vollständig beim Träger. Die katholischen Aufsichten selbst bringen es auf ihrer gemeinsamen Infokarte zur KDG-Novelle auf die Formel: „Regelmäßige Qualifizierung der Mitarbeitenden bleibt das A + O.”

Was eine passende Schulung leisten muss

Aus meiner Projektarbeit mit kirchlichen Einrichtungen hat sich für mich ein Aufbau bewährt, der vier Dinge verbindet:

Rechtsrahmen als Entscheidungswissen, nicht als Jurastudium. In 45 Minuten: Welches Gesetz gilt für uns (KDG oder DSG-EKD, nicht DSGVO), was verlangt die KI-Verordnung wirklich und was davon ist für einen sozialen Träger relevant. Ziel ist nicht, Paragrafen zu zitieren, sondern die Frage „dürfen wir das?” für die eigenen Anwendungsfälle beantworten zu können.

Live-Demo statt Folien. KI-Kompetenz entsteht nicht durch Definitionen, sondern durch Anfassen. Bei meinen Vorträgen kippt die Stimmung im Raum nie bei einer Folie, sondern immer in dem Moment, in dem ein echtes System live läuft: Textassistenz für Anträge und Berichte, interne Wissenssuche über eigene Dokumente, KI-Transkription von Gremiensitzungen. Für Letzteres hat der Landesdatenschutz- beauftragte Baden-Württemberg im Juni 2026 einen eigenen Leitfaden veröffentlicht (für kommunale Gemeinderäte, mit übertragbaren Grundsätzen: klare Rechtsgrundlage, keine Transkription der Wortbeiträge von Bürgern, Pausenfunktion bei Personalangelegenheiten). Entscheidend ist, dass die gezeigten Anwendungen im kirchlichen Kontext auch zulässig sind, sonst schult man Begeisterung für Dinge, die das eigene Haus gar nicht einsetzen darf.

Die Cloud-Frage ehrlich beantworten. Welche Daten dürfen in welches System? Wann ist ein US-Cloud-Dienst vertretbar, wann braucht es eine europäische Alternative und wann ist ein eigener Server im Haus die einzig saubere Antwort? Gerade hier gibt das kirchliche Recht klarere Antworten als die DSGVO, und sie fallen öfter zugunsten selbst betriebener Systeme aus, als viele erwarten.

Spielregeln fürs eigene Haus. Am Ende steht nicht ein Zertifikat, sondern ein Entwurf für eine KI-Richtlinie: welche Werkzeuge sind freigegeben, welche Daten sind tabu, wer entscheidet über neue Anwendungen und wie wird die MAV von Anfang an eingebunden.

Woran Sie eine passende Schulung erkennen

Wenn Ihr Haus eine solche Schulung plant, egal ob über das Beratungshaus, das Sie ohnehin schon begleitet, über einen externen Anbieter oder intern: Achten Sie auf drei Dinge. Erstens, dass der Rechtsteil auf KDG beziehungsweise DSG-EKD aufsetzt und nicht auf der DSGVO. Zweitens, dass echte Werkzeuge live gezeigt werden, nicht Folien über Werkzeuge. Drittens, dass die MAV von Anfang an als Beteiligte vorkommt und nicht als Hindernis.

Erfahrungsgemäß reicht dafür ein halber Tag, und es lohnt sich, alle vier Rollen an einen Tisch zu holen: Leitung, Datenschutzbeauftragte, IT und Mitarbeitendenvertretung. Eine Schulung, die diese Punkte erfüllt, deckt die Empfehlung der Aufsicht und die Anforderung der KI-Verordnung in einem ab, statt zwei getrennte Pflichtveranstaltungen zu erzeugen. Die rechtliche Bewertung des Einzelfalls ersetzt sie nicht; die gehört zum Datenschutzbeauftragten und, wo nötig, zu einer fachkundigen rechtlichen Beratung.

Der Tätigkeitsbericht des KDSZ Bayern liefert dafür die passende Begründung gleich mit:

„Digitale Souveränität entsteht nicht allein durch den Einsatz neuer Technologien. Sie setzt vielmehr voraus, dass die Menschen, die diese Technologien entwickeln, auswählen und einsetzen, deren Funktionsweise, Chancen und Risiken verstehen und verantwortungsvoll mit ihnen umgehen.”

Quellen

• KDSZ Bayern, Tätigkeitsbericht 2025 (Juli 2026), KI-Kapitel S. 33 ff.: kdsz.bayern (PDF), Ankündigung: kdsz.bayern
• Felix Neumann, „Transparenzoffensive, Tätigkeitsbericht des KDSZ Bayern 2025”, 15.07.2026: artikel91.eu
• Art. 4 KI-Verordnung (VO (EU) 2024/1689): eur-lex.europa.eu · Offizielle Umsetzungs-Timeline (Durchsetzung ab 02.08.2026): EU AI Act Service Desk
• § 9 KDG-DVO (Datenschutzklassen; Abs. 5): kdg.info
• § 14 KDG-DVO (Beicht- und Seelsorgegeheimnis): kdg.info
• § 40 MVG-EKD (Mitbestimmung, Fassung 20.01.2024): kirchenrecht-evlka.de
• LfDI Baden-Württemberg, „Datenschutz-Leitfaden für KI-Transkription von Gemeinderatssitzungen” (Version 1.0, 10.06.2026): baden-wuerttemberg.datenschutz.de
• Katholische Datenschutzaufsichten, Infokarte „TOP 10 der KDG-/KDG-DVO-Novellierung” (Katholikentag 2026): kath-datenschutzzentrum-ffm.de (PDF)
• Felix Neumann, „38 Regalmeter Scientology, Wochenrückblick KW 25/2026”, 19.06.2026 (Katholikentag, Beschwerden, KI-Prüfungen): artikel91.eu