Die Zusage gilt dem Speicherort, nicht dem Verarbeitungsort, kirchliche-ki.de

In fast jedem Beschaffungsverfahren für ein KI-gestütztes System wird dieselbe Frage gestellt, und sie wird fast immer gleich beantwortet. Die Frage lautet: Wo liegen unsere Daten? Die Antwort lautet: in einem Rechenzentrum in der Europäischen Union, häufig mit Nennung des Landes.

Diese Antwort ist in aller Regel zutreffend. Sie beantwortet nur eine andere Frage als die, auf die es ankommt. Sie sagt, wo der Bestand liegt: Konten, Dokumente, Verläufe, der durchsuchbare Index. Sie sagt nicht, wo die einzelne Anfrage berechnet wird, also wo aus der Eingabe einer Mitarbeiterin die Antwort des Systems entsteht. Und sie sagt nicht, wer an dieser Berechnung beteiligt ist.

Das ist kein Vorwurf an die Anbieter. Die Unterscheidung steht in ihren eigenen Unterlagen, und sie steht dort deutlich. Sie steht nur nicht im Datenblatt, sondern in der technischen Dokumentation der Plattformen, auf denen die Berechnung läuft, und dort liest sie im Beschaffungsverfahren niemand. Diese Ausgabe holt sie nach vorn und übersetzt sie in die Frage, die eine kirchliche Einrichtung stellen muss.

Die Pflichtfrage

Sie steht im katholischen Recht so ausdrücklich, dass man sie leicht überliest. Zu den Maßnahmen, die für jede elektronische Verarbeitung zu treffen sind, gehört die Weitergabekontrolle, und sie ist als Nachprüfbarkeit formuliert: Es muss überprüft und festgestellt werden können, an welche Stellen eine Übermittlung personenbezogener Daten erfolgt. Der Maßstab gilt dabei ausdrücklich unabhängig vom Ort der Verarbeitungstätigkeit.

Das ist mehr, als es klingt. Verlangt ist nicht die Behauptung, es werde nur an bekannte Stellen übermittelt. Verlangt ist die Fähigkeit, das nachträglich festzustellen. Wer diese Fähigkeit nicht hat, erfüllt die Maßnahme nicht, auch wenn tatsächlich nichts Unerwartetes passiert.

Dieselbe Verordnung benennt für Dienste, die nicht bereits geprüft und freigegeben sind, die Aspekte, die ein erhöhtes Risiko darstellen können und vor der Nutzung zu bewerten sind. Zwei davon lauten „Unkenntnis über den Speicherort der Informationen” und „hohe Mobilität der Informationen”. Damit ist im Regelwerk von 2018 bereits das beschrieben, was ein moderner KI-Dienst technisch tut, wenn er Anfragen dynamisch auf Rechenzentren verteilt.

Im evangelischen Recht führt ein anderer Weg zum selben Punkt. Dort hat sich die beauftragende kirchliche Stelle vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen Maßnahmen zu überzeugen, und das Ergebnis ist zu dokumentieren. Überzeugen kann man sich nur von etwas, das man benennen kann.

Warum der Name des Dienstes die Frage nicht beantwortet

Ein KI-Dienst ist kein Produkt mit einer festen Bauform. Hinter derselben Oberfläche und demselben Vertragstext stehen drei verschiedene Ketten.

Der Anbieter betreibt das Modell selbst. Er hält die Modellgewichte auf eigener oder gemieteter Hardware und rechnet dort. Die Kette ist kurz, der Ort der Berechnung ist der Ort der Hardware und damit bekannt.

Der Anbieter kauft die Berechnung bei einer Plattform ein. Oberfläche, Benutzerverwaltung und Dokumentenbestand liegen bei ihm, gerechnet wird bei einem Plattformbetreiber. Der Ort der Berechnung ist damit eine Einstellung in der Plattform und keine Eigenschaft des Anbieters.

Der Anbieter reicht an den Modellanbieter weiter. Die Eingabe geht an die Schnittstelle desjenigen Hauses, das das Modell entwickelt hat, mit dessen Bedingungen, dessen Speicherfristen und dessen Standorten.

Alle drei können im Angebot „datenschutzkonform, gehostet in der Europäischen Union” heißen. Welche vorliegt, ergibt sich nicht aus dem Namen und nicht aus dem Datenblatt, sondern nur aus einer ausdrücklichen Frage. Für die Prüfung ist das die erste Frage überhaupt, weil sich aus ihr ergibt, welche weiteren Fragen der Vertragspartner aus eigener Kenntnis überhaupt beantworten kann.

Drei Orte, eine Antwort

In den Auskünften verschmelzen regelmäßig drei Orte zu einem.

Der Ort der Speicherung ist der Ort des Bestandes. Er ist meist zugesagt und meist zutreffend.

Der Ort der Verarbeitung ist der Ort, an dem die einzelne Anfrage berechnet wird. Bei Diensten mit dynamischer Lastverteilung kann er von Anfrage zu Anfrage verschieden sein. Er folgt einer technischen Einstellung, nicht dem Vertragstext, und die Hersteller unterscheiden ihre Angebote genau danach: Berechnung weltweit, Berechnung innerhalb einer Zone, Berechnung innerhalb eines Gebiets. Die kostengünstigste Variante ist dabei zugleich diejenige, die in der Dokumentation als Ausgangspunkt empfohlen wird, und es ist die weltweite.

Der Ort der Nebenspeicherung ist der Ort, an dem Kopien entstehen, die niemand bestellt hat: Zwischenspeicher, Betriebsprotokolle und vor allem die Aufbewahrung von Ein- und Ausgaben zur Erkennung missbräuchlicher Nutzung. Für diese Kopien gilt eine Regel, die in keinem Vertrag steht: Sie folgen der Berechnung. Wird eine Anfrage in einer anderen Region berechnet, entsteht die Aufbewahrung dort. Die Dokumentation eines großen Anbieters sagt genau das.

Damit ist die Lage beschreibbar. Eine Einrichtung kann einen Vertrag haben, der den Standort der Daten korrekt zusagt, und trotzdem Eingaben in einem Land verarbeiten und dort für eine gewisse Zeit aufbewahren lassen, das im Verzeichnis der Verarbeitungstätigkeiten nicht vorkommt. Nicht weil jemand getäuscht hätte, sondern weil niemand die zweite und dritte Frage gestellt hat.

Die Lücke, durch die der Ort verrutscht

Das kirchliche Recht schützt die Kette an einer Stelle sehr wirksam und an einer anderen gar nicht.

Wirksam geschützt ist der Wechsel der Beteiligten. Katholisch darf der Auftragsverarbeiter keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung hinzuziehen, und bei einer allgemeinen Genehmigung ist über jede beabsichtigte Änderung zu informieren, mit der Möglichkeit zum Einspruch.

Nicht geschützt ist die Änderung des Ortes ohne Wechsel der Beteiligten. Ein Plattformbetreiber kann die Liste der Regionen erweitern, die zu einer Zone gehören. In der Dokumentation einer großen Plattform steht dieser Vorbehalt ausdrücklich, einschließlich des Hinweises, dass dies ohne vorherige Ankündigung geschehen kann. Der Kreis der Unterauftragsverarbeiter ändert sich dadurch nicht. Der Ort der Verarbeitung schon. Eine Vertragsklausel, die nur die Personen bindet, bindet diesen Vorgang nicht.

Hinzu kommt eine Beobachtung, die in Beschaffungsverfahren selten auftaucht: Die Zone, die unter europäischem Namen angeboten wird, ist nicht deckungsgleich mit der Europäischen Union. Die Datengrenze, auf die sich eine große Plattform beruft, umfasst neben den EU-Staaten ausdrücklich auch die Staaten der Europäischen Freihandelsassoziation, also Island, Liechtenstein, Norwegen und die Schweiz, und nennt die Schweiz als Standort genutzter Rechenzentren. Nach beiden kirchlichen Gesetzen ist die Schweiz ein Drittland. Für sie besteht ein Angemessenheitsbeschluss der Europäischen Kommission, die Übermittlung ist also zulässig und kein Rechtsverstoß. Sie bleibt aber eine Drittlandübermittlung, die in das Verzeichnis der Verarbeitungstätigkeiten gehört und in die Auskunft an betroffene Personen. Wer sie nicht kennt, führt sie auch nicht auf, und dann fehlt sie an zwei Stellen, an denen sie stehen müsste.

Zwei Rechtskreise, zwei verschiedene Hebel

Die Beteiligten sind in beiden Kirchen dieselben, die Pflichten nicht, und der Unterschied betrifft genau diese Frage.

Katholisch steht der Genehmigungsvorbehalt im Gesetz. Wer nichts vereinbart hat, hat ihn trotzdem, und er verlangt Schriftform. Das ist für die einzelne Einrichtung eine starke Ausgangslage, auch gegenüber einem Anbieter, der seine Bedingungen nicht verhandeln will.

Evangelisch steht er im Vertrag oder nirgends. Das Gesetz verlangt, dass Berechtigung und Bedingungen von Unterauftragsverhältnissen im Auftrag festgelegt werden. Ein Vorbehalt, der auch ohne Klausel gilt, steht dort nicht. Der Mustervertrag, den die Datenschutzaufsicht der EKD gemeinsam mit Vertreterinnen und Vertretern der Gliedkirchen herausgibt, zieht daraus die Konsequenz und verlangt eine abschließende Liste der Unterauftragnehmer, die vorherige Zustimmung in Textform für jede weitere Beauftragung und ein Recht zur außerordentlichen Kündigung, wenn diese Zustimmung nicht eingeholt wurde.

Beim Drittland kehrt sich das Verhältnis um. Katholisch ist die Liste der zulässigen Garantien offen: Ohne Angemessenheitsbeschluss genügen geeignete Garantien nebst durchsetzbaren Rechten und wirksamen Rechtsbehelfen. Evangelisch ist sie geschlossen: zulässig sind nur ein Angemessenheitsbeschluss oder Standarddatenschutzklauseln, die die Kommission erlassen oder genehmigt hat. Derselbe Empfänger in derselben Kette kann damit für eine katholische Einrichtung tragfähig sein und für eine evangelische nicht.

Bei der Kontrolle unterscheiden sich die beiden Rechtskreise nicht im Ob, sondern in der Uhr. Katholisch sind die Maßnahmen des Auftragsverarbeiters regelmäßig, mindestens jedoch alle zwei Jahre auf ihre Wirksamkeit zu überprüfen und das ist zu dokumentieren. Evangelisch ist vor Beginn der Verarbeitung zu prüfen und sodann regelmäßig, ebenfalls dokumentiert. Wer beide Vorschriften zusammen liest, kommt auf eine Erstkontrolle vor dem Beginn und eine Wiederholung spätestens nach zwei Jahren. Das ist eine Formulierung, die in beiden Rechtskreisen trägt und sich deshalb für Rahmenverträge eignet, die für mehrere Einrichtungen gelten sollen.

Was daraus folgt

Für die Leitungsebene. Die Frage nach der Verarbeitungskette ist keine Frage des Einzelfalls, sondern eine Frage der Vertragsvorlage. Sie lässt sich einmal beantworten und dann in jedem Verfahren verwenden. Drei Festlegungen genügen, um den größten Teil des Problems zu erledigen: eine abschließende Liste der Beteiligten als Vertragsanlage statt eines Verweises auf eine Webseite, eine Bindung des Verarbeitungsortes und nicht nur der Personen, und eine Informationspflicht, die auch dann greift, wenn sich die Beteiligten nicht ändern. Für den evangelischen Bereich kommt eine vierte hinzu, weil das Recht der Gliedkirchen bestimmen kann, dass vor der Beauftragung eine Genehmigung einzuholen oder eine Mustervereinbarung zu verwenden ist. Wo eine Landeskirche das nutzt, wirkt die Vorlage sofort in allen Einrichtungen.

Für den einzelnen Träger. Die Fragen sind vor dem Vertragsschluss zu stellen. Danach sind sie eine Bestandsaufnahme, vorher sind sie eine Verhandlungsposition, und für evangelische Einrichtungen ist der Zeitpunkt zusätzlich vorgeschrieben. Praktisch beginnt es mit einer einzigen Frage an den Anbieter: Welche der drei Bauformen liegt vor? Erst danach lässt sich einschätzen, was er aus eigener Kenntnis zusagen kann und was nur weitergibt, was ihm sein Vorlieferant zugesagt hat.

Für beide. Wo ein Anbieter eine dieser Fragen nicht beantworten kann, ist das keine Katastrophe und kein Ausschlussgrund. Es ist eine Feststellung, die in die Risikobewertung gehört, und sie ist deutlich mehr wert als eine beruhigende Antwort, die niemand belegen kann.

Das Dokument

Zu dieser Ausgabe gehört ein Fragebogen zur Verarbeitungskette eines KI-Dienstes: 24 Positionen in sechs Blöcken, als Anlage zum Auftragsverarbeitungsvertrag gedacht und im Auswahlverfahren verwendbar. Je Position steht die Frage an den Anbieter, die Begründung, die belastbare Antwort im Unterschied zur Broschürenaussage, der Nachweis, der sie belegt, und die Fundstelle im katholischen wie im evangelischen Recht. Am Ende steht ein Prüfungsabschluss zum Unterschreiben.

Die sechs Blöcke: wer beteiligt ist, wo verarbeitet wird, was neben der Antwort entsteht, was bei einer Änderung der Kette gilt, Drittland, sowie Nachweis und Kontrolle.

Der Fragebogen steht als Seite und als PDF bereit, kostenlos, frei verwendbar, anpassbar und weitergebbar, mit Quellenangabe:

Seite: kirchliche-ki.de/verarbeitungskette-ki/
PDF: Fragebogen zur Verarbeitungskette eines KI-Dienstes v1.0

Er tritt neben die bereits veröffentlichten Arbeitsmittel: die Anlage über die technischen und organisatorischen Maßnahmen und die Muster-Dienstvereinbarungen in katholischer und evangelischer Fassung. Die Anlage beschreibt, womit gesichert wird. Der Fragebogen beschreibt, wer beteiligt ist und wo.

Fundstellen und die Grenze dieser Prüfung

Dieser Abschnitt ist für alle gedacht, die die Belege selbst nachschlagen wollen. Wer das Dokument benutzen will, braucht ihn nicht und kann hier aufhören.

Zu den Bereitstellungsarten. Die Dokumentation der Plattform von Microsoft unterscheidet für ihre Modelldienste Bereitstellungsarten danach, wo die Anfrage berechnet wird. Der Hinweis zur Datenresidenz gilt für alle Arten und lautet, dass Daten im Ruhezustand in der angegebenen Region verbleiben, Inferenzdaten dagegen bei globalen Arten in jeder Region verarbeitet werden können, bei Datenzonen-Arten nur innerhalb der angegebenen Zone und bei den geografiegebundenen Arten innerhalb der gewählten Azure-Geografie. Als Ausgangspunkt für die meisten Anwendungsfälle wird ausdrücklich die globale Variante empfohlen, weil sie den niedrigsten Preis und die breiteste Verfügbarkeit hat. Amazon beschreibt dasselbe Prinzip für seine Modellplattform unter dem Begriff regionenübergreifender Inferenz und stellt geografisch gebundene Profile und globale Profile gegenüber; für die globale Variante nennt die Dokumentation eine Ersparnis von etwa zehn Prozent und eine Weiterleitung weltweit.

Zur Nebenspeicherung. Für die geografisch gebundenen Profile hält die Dokumentation von Amazon fest, dass Eingaben und Ausgaben während der regionenübergreifenden Inferenz die Ursprungsregion verlassen können und dass sie, soweit zur Missbrauchserkennung gespeichert wird, in der Zielregion gespeichert werden. Dieselbe Dokumentation nennt für die Prüfung ein auswertbares Feld der Betriebsprotokolle, in dem die tatsächliche Verarbeitungsregion steht. Damit ist die Frage nach dem Verarbeitungsort im Betrieb nachprüfbar und nicht nur zusagbar. Die Aufbewahrung zur Missbrauchserkennung und die Sichtung durch Menschen sind für die über Azure angebotenen Modelldienste in der Dokumentation von Microsoft beschrieben; darauf ist in dieser Reihe bereits am 16. September eingegangen worden.

Zur Reichweite der Datengrenze. Die Beschreibung der EU-Datengrenze durch Microsoft nennt als Bestandteil die EU-Staaten und die EFTA-Staaten Liechtenstein, Island, Norwegen und die Schweiz und führt die Schweiz unter den Ländern auf, in denen Rechenzentren für diese Dienste genutzt werden oder werden können. Die Seite zu den Bereitstellungsarten weist darauf hin, dass Regionen ohne vorherige Ankündigung zu einer Datenzone hinzugefügt werden können. Die Einstufung der Schweiz als Drittland folgt aus den Begriffsbestimmungen beider Kirchengesetze, katholisch als Land außerhalb der Union und des Europäischen Wirtschaftsraums, evangelisch als Staat, in dem die Datenschutz-Grundverordnung keine Anwendung findet. Der Angemessenheitsbeschluss für die Schweiz ist die Entscheidung der Kommission vom 26. Juli 2000, die in der Liste der geltenden Angemessenheitsbeschlüsse weiterhin geführt wird.

Grenze dieser Prüfung. Geprüft sind die Vorschriften und die öffentlich zugängliche Dokumentation der Plattformbetreiber, nicht ein Produkt und nicht ein Angebot. Ob ein bestimmter Dienst eine bestimmte Bereitstellungsart nutzt, ist damit nicht gesagt und lässt sich von außen auch nicht feststellen; genau deshalb ist die Frage zu stellen. Die Angaben der Hersteller sind Momentaufnahmen mit Abrufdatum, die Bezeichnungen ändern sich schneller als die zugrunde liegende Unterscheidung. Der Fragebogen fragt deshalb nach der Eigenschaft und nicht nach dem Produktnamen. Und die KDG-DVO ist durch Beschluss vom 24. November 2025 geändert worden; ob die Änderungen im eigenen Bistum bereits übernommen sind, ist im dortigen Amtsblatt zu prüfen. Für die Auftragsverarbeitung hat die Konferenz der Diözesandatenschutzbeauftragten in ihrer Arbeitshilfe vom Februar 2026 festgehalten, dass die bestehenden Regelungen unverändert gelten.

Quellen

Die kirchenrechtlichen Vorschriften wurden am 17. September 2026 an der jeweiligen Primärquelle geprüft, die Herstellerdokumentation am selben Tag abgerufen und am 29. September 2026 erneut abgeglichen.

Gesetz über den Kirchlichen Datenschutz (KDG), Lesefassung des Verbandes der Diözesen Deutschlands, herangezogen: §§ 4 Nr. 18, 26, 29, 31, 39 bis 41: dbk.de (PDF)
Durchführungsverordnung zum KDG (KDG-DVO), Fassung des Beschlusses vom 19. November 2018, geändert durch Beschluss vom 24. November 2025, herangezogen: §§ 6, 7, 15, 18: katholisches-datenschutzzentrum.de (PDF)
Kirchengesetz über den Datenschutz der EKD (DSG-EKD), Fassung der Bekanntmachung vom 15. Januar 2025, herangezogen: §§ 4 Nr. 18, 10, 27, 30, 31: kirchenrecht-ekhn.de (PDF)
Vertrag zur Auftragsverarbeitung, Version 3.0 (2025), herausgegeben vom Beauftragten für den Datenschutz der EKD gemeinsam mit Vertreterinnen und Vertretern der Gliedkirchen: datenschutz.ekd.de
Arbeitshilfe zur Umsetzung der KDG-Novelle, Konferenz der Diözesandatenschutzbeauftragten der Katholischen Kirche Deutschlands, Stand Februar 2026: katholisches-datenschutzzentrum.de (PDF)
Orientierungshilfe Künstliche Intelligenz und Datenschutz, Version 1.0 vom 6. Mai 2024, Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, herangezogen: Randnummern 32 bis 35 und 24: datenschutzkonferenz-online.de (PDF)
Bereitstellungsarten der Modelldienste von Microsoft, mit dem Hinweis zur Datenresidenz und zur Erweiterung von Datenzonen: learn.microsoft.com
EU-Datengrenze von Microsoft, mit der Aufzählung der Länder und der Rechenzentrumsstandorte: learn.microsoft.com
Regionenübergreifende Inferenz bei Amazon Bedrock, Vergleich geografischer und globaler Profile sowie Hinweise zur Speicherung in der Zielregion: docs.aws.amazon.com und docs.aws.amazon.com (geografische Profile)
Angemessenheitsbeschlüsse der Europäischen Kommission, Liste der Länder mit Angemessenheitsbeschluss, darunter die Schweiz: commission.europa.eu