Sonderausgabe: Zwei Zeilen Sicherheitsmaßnahmen sind keine vereinbarten Maßnahmen

Am 12. August erschien hier ein Muster für eine Dienstvereinbarung über den Einsatz KI-gestützter Systeme, am 1. September die katholische Fassung dazu. Beide führen in der Anlage zur Systembeschreibung einen Punkt „Sicherheitsmaßnahmen” auf und beschreiben ihn in zwei Zeilen: Authentifizierung, Trennung der Nutzerbereiche, Verschlüsselung, Sicherung, Löschverfahren.

Als Gliederungspunkt ist das richtig. Als Arbeitsgrundlage ist es zu wenig. Wer eine Dienstvereinbarung unterschreibt, in der dieser Punkt aus zwei Zeilen besteht, hat die Maßnahmen nicht vereinbart, sondern nur ihre Überschriften. Fragt später jemand nach, steht in der Vereinbarung nichts, woran sich eine Antwort messen ließe.

Diese Ausgabe füllt diesen einen Abschnitt aus, mit einem Prüfraster aus 25 Positionen für beide Rechtskreise.

Anlage 2: Technische und organisatorische Maßnahmen für KI-Systeme

Neun Seiten, 25 Prüfpositionen, je Position der verlangte Nachweis und die Fundstelle im katholischen wie im evangelischen Recht. PDF direkt herunterladen · kostenlos, frei verwendbar, anpassbar und weitergebbar, mit Quellenangabe.

Wer nur das Dokument braucht, ist hier fertig. Der Rest dieser Ausgabe begründet es und nennt die Stellen, an denen solche Prüfungen regelmäßig auseinanderfallen.

Es ist zugleich die Einlösung eines Verweises: Die Ausgabe vom 20. August endete mit zehn Fragen an einen Anbieter und dem Satz, die Antworten gehörten in die Anlage über die technischen und organisatorischen Maßnahmen. Diese Anlage gab es damals nicht. Jetzt gibt es sie.

Die Pflichtfrage

Sie lautet nicht: Welche Sicherheitsmaßnahmen hat unser Anbieter? Sondern:

Woran lässt sich überprüfen, dass die Maßnahmen, die wir vereinbart haben, in der laufenden Installation auch wirken?

Beide Kirchen verlangen die Antwort, und zwar vom Verantwortlichen, nicht vom Anbieter. Im katholischen Bereich steht die Pflicht in § 26 KDG und wird durch die Durchführungsverordnung im Einzelnen ausgeformt. Im evangelischen Bereich steht sie in § 27 DSG-EKD. Keine dieser Vorschriften ist für KI geschrieben worden, und keine macht dafür eine Ausnahme. Sie sind anzuwenden wie auf jedes andere Verfahren auch, nur trifft ihr Wortlaut hier auf einen anderen Sachverhalt.

Warum die vorhandene Maßnahmenliste hier nicht genügt

Jede Einrichtung, die Datenschutz ernst betreibt, hat bereits eine Liste technischer und organisatorischer Maßnahmen. Diese Listen sind nicht falsch. Bei einem KI-gestützten System greifen sie an drei Stellen ins Leere, und alle drei sind der Grund, warum eine eigene Anlage nötig ist.

Erstens verlässt die Verarbeitung mit jedem einzelnen Aufruf das Haus. Bei einer Fachanwendung im eigenen Rechenzentrum ist die Frage nach dem Übertragungsweg einmal zu beantworten. Bei einem System mit externer Modellanbindung ist jede Eingabe eine Übermittlung nach außen, und was dabei übermittelt wird, entscheidet nicht die Nutzerin, sondern die Software: Sie stellt selbständig einen Zusammenhang her, lädt Dokumente nach und ruft Zusatzdienste auf. Die Frage, an welche Stellen tatsächlich übermittelt wird, ist aus der Produktbeschreibung deshalb nicht zu beantworten. Sie ist nur an der laufenden Installation zu beantworten.

Zweitens entsteht mit dem durchsuchbaren Bestand eine neue Datensammlung. Wer Akten, Protokolle und Postfächer für ein KI-System erschließt, erzeugt einen zweiten Bestand neben der Quelle. Er ist keine Kopie: Die Texte werden zerlegt, neu abgelegt und in eine maschinell durchsuchbare Form gebracht, und in diesem Bestand liegt nebeneinander, was vorher in getrennten Verfahren lag. Für den katholischen Bereich ist die Folge ausdrücklich geregelt. Bei der Einordnung in eine Datenschutzklasse ist „auch der Zusammenhang mit anderen gespeicherten Daten” zu berücksichtigen (§ 9 Abs. 2 KDG-DVO). Genau dieser Zusammenhang entsteht beim Erschließen, und genau er wird in der Regel nicht eingeordnet.

Drittens sind die Voreinstellungen des Anbieters Teil der Maßnahme. Ob ein Dienst Eingaben aufbewahrt, wie lange und wer darauf zugreifen kann, hängt bei den meisten Angeboten nicht vom Vertrag ab, sondern von einer Einstellung im Konto und von der Art des technischen Zugangs. Beide Rechtskreise verlangen ausdrücklich, dass durch Voreinstellung nur die erforderlichen Daten verarbeitet werden, und nennen die Speicherfrist und die Zugänglichkeit dabei beim Namen (§ 27 Abs. 2 KDG, § 28 Abs. 2 DSG-EKD). Eine Maßnahme, die im Vertrag steht und nicht in der Einstellung, erfüllt diese Anforderung nicht.

Derselbe Maßstab, zwei Wege dorthin

Die Maßnahmen sind in beiden Kirchen dieselben. Ihre Herleitung ist es nicht, und daraus folgt ein Unterschied, der die Reihenfolge der Arbeit bestimmt.

Katholisch stehen die Maßnahmen im Recht. Die KDG-DVO benennt in § 6 Abs. 2 elf Maßnahmenbereiche, ordnet Daten über § 9 in drei Datenschutzklassen ein und hängt an jede Klasse in den §§ 11 bis 13 feste Mindestmaßnahmen. Dazu kommen Sondervorschriften, die ein KI-System unmittelbar treffen: § 18 zur Nutzung von Cloud-Diensten, § 19 zu autorisierten Programmen, § 22 zu externen Zugriffen. Eine Anlage lässt sich hier gegen einen Katalog abgleichen. Wer keine Einordnung vornimmt, bekommt sie kraft Gesetzes: Dann gilt automatisch Klasse III, sofern nicht die Voraussetzungen des § 14 vorliegen (§ 9 Abs. 5 KDG-DVO). Für Beicht- und Seelsorgegeheimnis kennt die Verordnung eine Stufe oberhalb der drei Klassen; das war das Thema der Ausgabe vom 30. Juli.

Evangelisch stehen die Maßnahmen im eigenen Konzept. § 27 Abs. 6 DSG-EKD verpflichtet zur IT-Sicherheit und verweist für das Nähere auf eine Rechtsverordnung. Diese Verordnung, die ITSVO-EKD, nennt keine einzelne Maßnahme. Sie verlangt ein IT-Sicherheitskonzept, das fortgeschrieben wird, sich an den Empfehlungen des Bundesamtes für Sicherheit in der Informationstechnik orientiert und den Schutzbedarf der Daten berücksichtigt (§ 1 Abs. 2 und 3 ITSVO-EKD). Es gibt also keinen Katalog, an dem sich die Untergrenze ablesen ließe. Die Einrichtung muss ihre Maßnahmen selbst herleiten und begründen.

Daraus folgt nicht, dass der evangelische Strang die schwächeren Pflichten hätte. Bei der Auftragsverarbeitung ist er im Zeitpunkt sogar strenger: § 30 Abs. 3 Sätze 3 und 4 DSG-EKD verlangt, sich vor Beginn der Datenverarbeitung und danach regelmäßig von den Maßnahmen des Auftragsverarbeiters zu überzeugen und das Ergebnis zu dokumentieren.

Der Zeitpunkt entscheidet über den Wert der Prüfung

Dies ist der Punkt, der in der Praxis am häufigsten verloren geht, und er kostet nichts außer Aufmerksamkeit.

Wird ein KI-System erst nach Vertragsschluss vorgelegt, ist die Prüfung eine Bestandsaufnahme und keine Auswahlentscheidung. Fast alle Feststellungen, die sich aus einer Anlage wie dieser ergeben, sind dann nicht mehr verhandelbar: der Speicherort, die Aufbewahrungsfrist, die Beteiligten in der Kette, die Frage, ob eine feste Modellversion zugesichert wird.

Hier lohnt es, zwei Zeitpunkte auseinanderzuhalten, weil die Vorschriften das auch tun.

Vor der Inbetriebnahme verlangen beide Rechtskreise die Prüfung ausdrücklich. Katholisch darf die Verarbeitung erst erfolgen, wenn die erforderlichen Maßnahmen getroffen sind (§ 5 Abs. 2 KDG-DVO), und ein Cloud-Dienst, der nicht bereits geprüft und freigegeben ist, ist „vor der Nutzung” anhand von neun Risikoaspekten zu bewerten (§ 18 Abs. 1 und 2 KDG-DVO). Evangelisch ist Mindestvoraussetzung, dass „die Systeme vor ihrem Einsatz getestet wurden” (§ 2 Abs. 1 Nr. 3 ITSVO-EKD).

Vor der Auswahlentscheidung, also vor der Unterschrift, wird es nur in einem Rechtskreis ausdrücklich: § 3 ITSVO-EKD verlangt, die Beauftragten für den Datenschutz „bei der Entscheidung zur Auswahl” frühzeitig zu beteiligen. Wer evangelisch erst nach dem Vertragsschluss vorlegt, hat deshalb nicht nur eine Prüfung spät gemacht, sondern eine Vorschrift verletzt, unabhängig davon, wie die Prüfung ausgefallen wäre. Katholisch gibt es keine gleichlautende Vorschrift; dort gibt es nur die Soll-Vorschrift, die oder den betrieblichen Datenschutzbeauftragten bei der Einordnung anzuhören (§ 9 Abs. 3 Satz 2 KDG-DVO), und die praktische Einsicht, dass eine Bewertung vor der Nutzung nach einem unterschriebenen Vertrag folgenlos bleibt. Wer katholisch Verbindlichkeit will, muss den Zeitpunkt selbst in die Dienstvereinbarung oder in eine Handreichung schreiben.

Vier Positionen, an denen Prüfungen regelmäßig auseinanderfallen

Das Raster hat 25 Positionen. Vier davon lohnen den Vorabblick, weil sie in der Regel weder im Angebot des Anbieters noch in der vorhandenen Maßnahmenliste vorkommen.

Die Aufbewahrung zur Missbrauchserkennung. Anbieter speichern Eingaben und Antworten, um missbräuchliche Nutzung zu erkennen, und unterziehen sie dabei auch einer Prüfung durch Menschen. Das geschieht unabhängig davon, ob ein Trainingsausschluss vereinbart ist, und der Trainingsausschluss sagt darüber nichts. Microsoft beschreibt das für seine Modelldienste in der eigenen Dokumentation offen und nennt zugleich den Ausweg: Kunden, die „hoch sensible oder streng vertrauliche Daten” verarbeiten, können eine Änderung dieser Überwachung beantragen, wenn sie zusätzliche Zugangskriterien erfüllen. Beantragen, nicht abschalten, und die Entscheidung liegt beim Anbieter. Zu klären sind deshalb Dauer, Speicherort, Zugriffsberechtigte und die Frage, ob die Einrichtung diesen Antrag stellen kann und ob ihm stattgegeben wurde.

Die Zusatzdienste. Ein KI-Arbeitsplatz ruft je nach Funktion weitere Dienste auf, etwa für eine Websuche, für die Erschließung eines Dokuments, für Sprache oder für Bilder. Sie springen nur bei bestimmten Funktionen an und fehlen deshalb regelmäßig in der Liste der Beteiligten. Jede dieser Stellen ist eine Stelle in der Kette. Katholisch darf der Auftragsverarbeiter eine weitere Stelle nur mit Genehmigung hinzuziehen und muss jede Änderung mitteilen (§ 29 Abs. 2 KDG), und dieser weiteren Stelle sind dieselben Datenschutzpflichten aufzuerlegen (§ 29 Abs. 5 KDG). Evangelisch gehören die Bedingungen von Unterauftragsverhältnissen in den Auftrag selbst (§ 30 Abs. 3 Satz 2 Nr. 6 DSG-EKD).

Die Protokollierung, zwischen Pflicht und Verbot. Im katholischen Bereich ist grundsätzlich sicherzustellen, dass nachträglich feststellbar ist, ob und von wem Daten verarbeitet wurden, und diese Eingabekontrolle umfasst mindestens sechs Monate (§ 6 Abs. 2 Buchstabe f KDG-DVO). Zugleich untersagen beide Muster-Dienstvereinbarungen die Verhaltens- und Leistungskontrolle ausdrücklich. Das ist kein Widerspruch, sondern eine Konstruktionsaufgabe: Beides zusammen geht nur mit einer Zweckbindung, einer abschließenden Liste zulässiger Auswertungen und einer Zugriffsbeschränkung auf die Protokolle. Wer die Protokollierung ganz weglässt, um die Mitarbeitervertretung zu beruhigen, muss das Wort „grundsätzlich” in der Vorschrift begründen können. Wer sie ohne diese drei Elemente einrichtet, verletzt die Vereinbarung.

Der Nachweis statt der Zusicherung. Für den katholischen Bereich steht der Maßstab im Verordnungstext: Der Verantwortliche hat sich vom Schutzniveau des Auftragsverarbeiters „in geeigneter Weise, insbesondere durch persönliche Überprüfung oder Vorlage von Nachweisen” zu überzeugen (§ 9 Abs. 7 KDG-DVO). Eine Angabe im Angebot ist danach kein Nachweis. Das ist die Vorschrift, die aus einer Papierprüfung eine echte macht, und sie wird selten zitiert.

Was daraus folgt

Für die Leitungsebene, also für Bistümer, Ordinariate, Generalvikariate und Landeskirchen: Der Abschnitt „Sicherheitsmaßnahmen” ist die Stelle, an der eine Handreichung oder eine Rahmenvereinbarung tatsächlich steuern kann, ohne ein einzelnes Produkt vorzuschreiben. Ein Raster, das Nachweis und Fundstelle nennt, lässt sich einer Einrichtung an die Hand geben und gegenüber einem Anbieter verwenden, ohne dass für jedes Haus neu verhandelt wird. Der zweite Hebel ist der Zeitpunkt: Eine Vorgabe, dass die Datenschutzbeauftragten vor dem Vertragsschluss zu beteiligen sind, wiederholt evangelisch nur geltendes Recht (§ 3 ITSVO-EKD) und schließt katholisch eine Lücke, die die Verordnung offen lässt.

Für die Trägerebene, also für Verbände, Kliniken, Jugendhilfe und Sozialunternehmen: Die Anlage ist auch ohne Dienstvereinbarung verwendbar, nämlich als Fragenkatalog gegenüber dem Anbieter, solange die Fragen noch etwas bewirken. Drei Regeln für das Ausfüllen: Nur eintragen, was in der laufenden Installation überprüft wurde. „Nicht erfüllt” ist ein zulässiges Ergebnis, „nicht geprüft” ist keines. Und jede Antwort bekommt ein Datum und einen Bezug auf die Version des Systems, weil ein Modellwechsel oder eine geänderte Voreinstellung beim Anbieter einzelne Antworten ungültig macht.

Das Dokument

Die Anlage enthält Anwendungshinweise, 25 Prüfpositionen in sechs Blöcken, einen Prüfungsabschluss zum Unterschreiben, eine Liste der sechs Fehler, die bei solchen Prüfungen erfahrungsgemäß passieren, und die Fundstellen, an denen sich jede Angabe nachprüfen lässt. Jede Position nennt die Maßnahme, ihre Besonderheit im KI-Zusammenhang, den verlangten Nachweis und die Fundstelle in beiden Rechtskreisen.

Zur Anlage · PDF herunterladen

Sie gehört zu den beiden Mustern, die hier bereits stehen: katholische Fassung und evangelische Fassung.

Alles drei ist kostenlos, frei verwendbar, anpassbar und weitergebbar, mit Quellenangabe.

Fundstellen und die Grenze dieser Prüfung

Dieser Abschnitt ist für alle gedacht, die die Belege selbst nachschlagen wollen. Wer das Dokument benutzen will, braucht ihn nicht und kann hier aufhören.

Die Anlage ist an den Vorschriften geprüft, nicht an einem Produkt. Sie sagt, welche Fragen zu stellen sind und woran sich die Antwort überprüfen lässt. Sie sagt nicht, welches System diese Antworten gibt, und sie trifft keine Aussage über einzelne Anbieter.

Drei Einschränkungen sind offen zu benennen, und sie stehen auch im Dokument.

Erstens setzt die Prüfung dreier Positionen den Zugang zur laufenden Installation voraus: die Zugriffskontrolle bei der Suche im Bestand, die Zwischenspeicher und Fehlerprotokolle und die Weitergabekontrolle. Wo der Betrieb vollständig beim Anbieter liegt, bleibt nur die schriftliche Auskunft, und das ist ein schwächerer Nachweis. Diese Grenze ist nicht durch eine bessere Liste zu beheben.

Zweitens ist die MAVO diözesanes Recht. Die Angaben zur Mitbestimmung folgen der Rahmenordnung; einzelne Diözesen können abweichen.

Drittens hat die KDG-DVO durch Beschluss der Vollversammlung des Verbandes der Diözesen Deutschlands vom 24. November 2025 Änderungen erfahren. Ob und wann sie in das eigene Diözesanrecht übernommen wurden, ist im Amtsblatt des eigenen Bistums zu prüfen; das Datum des Inkrafttretens weicht ab.

Zur Zählung: Die Anlage nennt für § 6 Abs. 2 KDG-DVO elf Maßnahmenbereiche und für § 18 Abs. 2 KDG-DVO neun Risikoaspekte. Beides ist an der Beschlussfassung vom November 2025 ausgezählt und nicht aus einer Sekundärquelle übernommen.

Quellen

Alle Vorschriften wurden am 1. September 2026 an der jeweiligen Primärquelle geprüft, die Erreichbarkeit der Fundstellen am 16. September 2026 erneut. Die vollständige Liste mit den herangezogenen Paragrafen steht in Teil E des Dokuments.

• Gesetz über den Kirchlichen Datenschutz (KDG), Lesefassung des Verbandes der Diözesen Deutschlands, veröffentlicht durch das Sekretariat der Deutschen Bischofskonferenz: dbk.de (PDF)
• Durchführungsverordnung zum KDG (KDG-DVO), in der Fassung des Beschlusses der Vollversammlung des Verbandes der Diözesen Deutschlands vom 19. November 2018, geändert durch Beschluss vom 24. November 2025: katholisches-datenschutzzentrum.de (PDF)
• Kirchengesetz über den Datenschutz der EKD (DSG-EKD), in der Fassung der Bekanntmachung vom 15. Januar 2025 (ABl. EKD 2025 S. 1 Nr. 1), berichtigt am 20. Februar 2025 (ABl. EKD 2025 S. 42 Nr. 7): kirchenrecht-ekhn.de (PDF)
• Verordnung zur Sicherheit der Informationstechnik (ITSVO-EKD) vom 29. Mai 2015 (ABl. EKD 2015 S. 146): kirchenrecht-ekvw.de (PDF)
• Missbrauchsüberwachung, Dokumentation von Microsoft zu den über Azure angebotenen Modelldiensten, für die Speicherung von Eingaben und Antworten zur Missbrauchserkennung, die Prüfung durch Menschen und das Antragsverfahren für eine geänderte Überwachung. Am 16. September 2026 abgerufen: learn.microsoft.com und learn.microsoft.com (Datenschutz)