Fragebogen zur Verarbeitungskette eines KI-Dienstes

Dieser Fragebogen gehört zu den Arbeitsmitteln dieser Seite: Anlage technische und organisatorische Maßnahmen · Muster-Dienstvereinbarung katholisch · Muster-Dienstvereinbarung evangelisch.

Der Auftragsverarbeitungsvertrag legt fest, was verarbeitet wird. Er legt nicht fest, wer außer dem Vertragspartner an der Verarbeitung beteiligt ist und wo sie stattfindet. Bei einem KI-Dienst ist das die Frage, von der alles Weitere abhängt, und sie wird regelmäßig mit einem Satz beantwortet, der sie nicht beantwortet.

„Unsere Server stehen in Deutschland" ist eine Aussage über den Ort der Speicherung. Sie ist keine Aussage über den Ort, an dem die Eingabe in eine Antwort verwandelt wird, und keine darüber, wer an dieser Umwandlung beteiligt ist. Dieser Fragebogen stellt die Fragen einzeln: 24 Positionen in sechs Blöcken, je Position die Frage an den Anbieter, die belastbare Antwort, der Nachweis, der sie belegt, und die Fundstelle im katholischen wie im evangelischen Recht.

PDF herunterladen

Frei verwendbar, anpassbar und weitergebbar, mit Quellenangabe. Der vollständige Text steht auch unten auf dieser Seite.

Für wen es gedacht ist

• Beschaffung und IT-Verantwortliche in Bistümern, Landeskirchen, Verbänden und Trägern, die die Fragen stellen wollen, solange die Antworten noch etwas kosten dürfen, also vor dem Vertragsschluss.
• Betriebliche Datenschutzbeauftragte, die zu einem KI-Vorhaben Stellung nehmen sollen und dafür die Kette kennen müssen, nicht nur den Vertragspartner.
• Kanzleien und beratende Häuser, die einen Vertragsentwurf gegen die tatsächliche technische Bauform halten müssen und dafür eine Frageliste brauchen, die beide Seiten versteht.

Drei Orte, die regelmäßig zu einem verschmolzen werden

1. Der Ort der Speicherung ist der Ort, an dem der Bestand liegt: Konten, Dokumente, Verläufe, Index. Er ist meist vertraglich zugesagt und meist auch zutreffend.
2. Der Ort der Verarbeitung ist der Ort, an dem die einzelne Anfrage berechnet wird. Er folgt einer technischen Einstellung, nicht dem Vertragstext, und die kostengünstigste Einstellung ist regelmäßig die mit dem weitesten Verarbeitungsgebiet.
3. Der Ort der Nebenspeicherung ist der Ort, an dem Kopien entstehen, die niemand bestellt hat: Zwischenspeicher, Betriebsprotokolle und die Aufbewahrung von Ein- und Ausgaben zur Missbrauchserkennung. Diese Kopien folgen der Berechnung. Wird eine Anfrage in einer anderen Region berechnet, entsteht die Aufbewahrung dort.

Der Unterschied zwischen den Rechtskreisen

Katholisch steht der Genehmigungsvorbehalt im Gesetz. Kein weiterer Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung, bei einer allgemeinen Genehmigung Information über jede beabsichtigte Änderung mit der Möglichkeit zum Einspruch (§ 29 Abs. 2 KDG). Wer nichts vereinbart hat, hat den Vorbehalt trotzdem.

Evangelisch steht er im Vertrag oder nirgends. Das Gesetz verlangt, dass Berechtigung und Bedingungen von Unterauftragsverhältnissen im Auftrag festgelegt werden (§ 30 Abs. 3 Satz 2 Nr. 6 DSG-EKD). Dafür steht dort eine Pflicht mit festem Anfangspunkt: sich vor Beginn der Datenverarbeitung und sodann regelmäßig zu überzeugen und das Ergebnis zu dokumentieren.

Beim Drittland kehrt sich das Verhältnis um. Katholisch ist die Liste der Garantien offen (§ 40 Abs. 2 KDG), evangelisch geschlossen: nur Angemessenheitsbeschluss oder Standarddatenschutzklauseln der Kommission (§ 10 Abs. 1 DSG-EKD). Derselbe Empfänger kann damit für die eine Einrichtung tragfähig sein und für die andere nicht.

Was der Fragebogen nicht leistet

Er bewertet keinen Anbieter und empfiehlt keinen. Er ersetzt weder die Risikobewertung noch die Datenschutz-Folgenabschätzung, sondern liefert ihnen die Tatsachen, ohne die sie nicht geführt werden können. Wo ein Anbieter über seine Vorlieferanten keine Auskunft geben kann, bleibt die Position offen; das ist eine Feststellung über die Kette und kein Mangel des Fragebogens.

Dieser Fragebogen ist ein Formularwerk und ersetzt keine Prüfung des Einzelfalls. Die Anpassung an die konkrete Einrichtung, die rechtliche Bewertung und die Freigabe gehören zur oder zum betrieblichen Datenschutzbeauftragten beziehungsweise zur anwaltlichen Beratung der Einrichtung.

Auszufüllen vom Anbieter, vor Vertragsschluss

Fassung	v1.0 vom 30. September 2026
Geltungsbereich	katholische und evangelische Einrichtungen, siehe Teil A
Rechtsstand der zitierten Vorschriften	am 17. September 2026 an der Primärquelle geprüft, siehe Teil E
Verfasser	Nils Peters, kirchliche-ki.de
Verwendung	frei verwendbar, anpassbar und weitergebbar, mit Quellenangabe

Hinweis zur Rechtsdienstleistung. Dieser Fragebogen ist ein Formularwerk für typische Sachverhaltskonstellationen und ersetzt keine Prüfung des Einzelfalls. Er enthält keine rechtliche Würdigung für eine bestimmte Einrichtung und keine Aussage über einen bestimmten Anbieter. Die Anpassung an die konkrete Einrichtung, die rechtliche Bewertung und die Freigabe des Textes gehören zur oder zum betrieblichen Datenschutzbeauftragten beziehungsweise zur anwaltlichen Beratung der Einrichtung.

---

Teil A: Anwendungshinweise

Wozu dieser Fragebogen dient

Der Vertrag über die Verarbeitung im Auftrag legt fest, was verarbeitet wird: Gegenstand, Dauer, Art und Zweck, Art der Daten, Kategorien betroffener Personen. Beide Rechtskreise schreiben diese Angaben ausdrücklich vor (§ 29 Abs. 3 KDG; § 30 Abs. 3 Satz 2 DSG-EKD). Was sie nicht vorschreiben, ist eine verständliche Darstellung der Frage, die bei einem KI-Dienst über alles Weitere entscheidet: Wer außer dem Vertragspartner ist an der Verarbeitung beteiligt, und wo findet sie statt?

Diese Frage wird in Beschaffungsverfahren regelmäßig gestellt und regelmäßig mit einem Satz beantwortet, der sie nicht beantwortet. „Unsere Server stehen in Deutschland” ist eine Aussage über den Ort der Speicherung. Sie ist keine Aussage über den Ort, an dem die Eingabe in eine Antwort verwandelt wird, und sie ist keine Aussage darüber, wer an dieser Umwandlung beteiligt ist. Beides sind eigene Fragen mit eigenen Antworten.

Dieser Fragebogen stellt diese Fragen einzeln. Er ist als Anlage zum Auftragsverarbeitungsvertrag gedacht, sodass die Antworten Vertragsinhalt werden, und er ist zugleich im Auswahlverfahren verwendbar, solange die Antworten noch etwas kosten dürfen.

Warum der Name des Dienstes die Frage nicht beantwortet

Ein KI-Dienst ist kein Produkt mit einer festen Bauform. Hinter derselben Oberfläche und demselben Vertrag stehen drei verschiedene Ketten, und sie unterscheiden sich in der Zahl der Beteiligten, in den Orten und in den Pflichten.

Bauform 1: Der Anbieter betreibt das Modell selbst. Er hält die Modellgewichte auf eigener oder gemieteter Hardware und führt die Berechnung dort aus. Die Kette ist kurz: Anbieter, Rechenzentrumsbetreiber. Der Ort der Berechnung ist der Ort der Hardware und damit bekannt.

Bauform 2: Der Anbieter kauft die Berechnung bei einer Plattform ein. Oberfläche, Benutzerverwaltung und Dokumentenbestand liegen beim Anbieter, die Berechnung selbst läuft bei einem Plattformbetreiber. Die Kette ist länger, und der Ort der Berechnung ist eine Einstellung in der Plattform, nicht eine Eigenschaft des Anbieters.

Bauform 3: Der Anbieter reicht an den Modellanbieter weiter. Die Eingabe wird an die Schnittstelle desjenigen Hauses gesendet, das das Modell entwickelt hat. Die Kette enthält dann ein Haus, dessen eigene Bedingungen, eigene Speicherfristen und eigene Standorte gelten.

Alle drei Bauformen können im Vertrag „datenschutzkonform, gehostet in der Europäischen Union” heißen. Welche vorliegt, ergibt sich nicht aus dem Namen und nicht aus dem Datenblatt, sondern nur aus einer ausdrücklichen Frage. Block 1 dieses Fragebogens stellt sie.

Die Unterscheidung, an der die meisten Auskünfte scheitern

Drei Orte werden in Auskünften regelmäßig zu einem verschmolzen, obwohl sie verschieden sind und verschieden geregelt werden müssen.

Der Ort der Speicherung ist der Ort, an dem der Bestand liegt: Konten, Dokumente, Verläufe, Index. Er ist meist vertraglich zugesagt und meist auch zutreffend.

Der Ort der Verarbeitung ist der Ort, an dem die einzelne Anfrage berechnet wird. Er kann bei Diensten mit dynamischer Lastverteilung von Anfrage zu Anfrage verschieden sein, und er folgt einer technischen Einstellung, nicht dem Vertragstext. Die Dokumentation der großen Plattformen benennt das ausdrücklich und unterscheidet Bereitstellungsarten danach, ob die Berechnung weltweit, innerhalb einer Zone oder innerhalb eines Gebiets erfolgt. Die kostengünstigste Variante ist dabei zugleich diejenige, die die Hersteller in ihrer Dokumentation als Ausgangspunkt empfehlen: die weltweite.

Der Ort der Nebenspeicherung ist der Ort, an dem Kopien entstehen, die niemand bestellt hat: Zwischenspeicher, Betriebsprotokolle und vor allem die Aufbewahrung von Ein- und Ausgaben zur Missbrauchserkennung. Diese Kopien folgen der Berechnung. Wird eine Anfrage in einer anderen Region berechnet, entsteht die Nebenspeicherung dort.

Ein Fragebogen, der nur nach dem Serverstandort fragt, erfasst den ersten Ort und übersieht die beiden anderen. Block 2 und Block 3 trennen sie.

Der Unterschied zwischen den Rechtskreisen

Die Beteiligten sind in beiden Kirchen dieselben. Die Pflichten sind es nicht, und der Unterschied betrifft genau den Punkt, um den es hier geht.

Katholisch steht der Genehmigungsvorbehalt im Gesetz. Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch; bei einer allgemeinen Genehmigung ist über jede beabsichtigte Änderung zu informieren, und der Verantwortliche erhält die Möglichkeit, Einspruch zu erheben (§ 29 Abs. 2 KDG). Der Vertrag bedarf der Schriftform (§ 29 Abs. 9 KDG). Wer nichts vereinbart hat, hat trotzdem den Vorbehalt.

Evangelisch steht er im Vertrag oder nirgends. Das Gesetz verlangt, dass „gegebenenfalls die Berechtigung zur Begründung sowie die Bedingungen von Unterauftragsverhältnissen” im Auftrag festgelegt werden (§ 30 Abs. 3 Satz 2 Nr. 6 DSG-EKD), und der Auftrag ist in Textform zu erteilen. Ein gesetzlicher Vorbehalt, der auch ohne Klausel gilt, steht dort nicht. Dafür steht dort eine Pflicht mit einem festen Anfangspunkt: Die beauftragende kirchliche Stelle hat sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der Maßnahmen zu überzeugen, und das Ergebnis ist zu dokumentieren (§ 30 Abs. 3 Sätze 3 und 4 DSG-EKD).

Kontrolliert wird in beiden Rechtskreisen, nur nach verschiedener Uhr. Katholisch nennt die Durchführungsverordnung ein Intervall: Die Maßnahmen des Auftragsverarbeiters sind regelmäßig, mindestens jedoch alle zwei Jahre auf ihre Wirksamkeit zu überprüfen und das ist zu dokumentieren (§ 15 Abs. 5 Satz 1 KDG-DVO). Auf die Prüfung verzichten darf man nur bei Vorlage eines anerkannten Zertifikats gemäß § 29 Abs. 6 KDG, und das sind genehmigte Verhaltensregeln oder ein genehmigtes Zertifizierungsverfahren nach europäischem Recht. Das ist enger als bei der Überprüfung der eigenen Maßnahmen, für die § 7 Abs. 2 KDG-DVO ausdrücklich auch ISO/IEC 27001 zulässt. Position 6.2 geht dem nach.

Beim Drittland kehrt sich das Verhältnis um. Katholisch ist die Liste der Garantien offen: Ohne Angemessenheitsbeschluss genügen „geeignete Garantien” nebst durchsetzbaren Rechten und wirksamen Rechtsbehelfen (§ 40 Abs. 2 KDG). Evangelisch ist sie geschlossen: Zulässig ist die Übermittlung nur bei einem Angemessenheitsbeschluss oder bei Verwendung von Standarddatenschutzklauseln der Kommission (§ 10 Abs. 1 DSG-EKD). Ein Empfänger, der sich auf ein anderes Instrument stützt, ist damit im evangelischen Bereich nicht gedeckt, auch wenn er im katholischen Bereich vertretbar wäre.

Der Fragebogen nennt deshalb bei jeder Position beide Fundstellen. Wo eine Frage nur in einem Rechtskreis eine ausdrückliche Grundlage hat, steht das dabei.

So wird der Fragebogen benutzt

1. Vor dem Vertragsschluss versenden. Nach der Unterschrift ist jede Antwort eine Bestandsaufnahme. Vorher ist sie eine Verhandlungsposition. Für den evangelischen Bereich ist der Zeitpunkt zusätzlich vorgeschrieben, weil die Überzeugungspflicht vor Beginn der Verarbeitung greift.
2. Antworten zum Vertragsbestandteil machen. Der ausgefüllte Fragebogen wird als Anlage beigefügt und in Bezug genommen. Eine Auskunft, die nur in einer E-Mail steht, bindet niemanden.
3. Je Antwort den Nachweistyp verlangen. Jede Position nennt, was als Nachweis taugt und was nur eine Broschürenaussage ist. Der Unterschied ist nicht formal: Eine Zusage, die sich durch eine Einstellung im Konto ändern lässt, ist nur dann belastbar, wenn der eingestellte Zustand festgehalten und wiederkehrend überprüft wird.
4. Offene Positionen offen lassen. Ein Fragebogen mit vier ehrlich offenen Positionen ist ein Prüfergebnis. Ein Fragebogen ohne offene Positionen ist meist keins.
5. Wiedervorlage setzen. Die Kette ändert sich, ohne dass sich der Vertrag ändert. Block 4 behandelt diesen Fall gesondert.

Was dieser Fragebogen nicht leistet

Er bewertet keinen Anbieter und empfiehlt keinen. Er ersetzt weder die Risikobewertung noch die Datenschutz-Folgenabschätzung, sondern liefert ihr die Tatsachen, ohne die sie nicht geführt werden kann. Er ersetzt auch nicht die Prüfung der technischen und organisatorischen Maßnahmen; dafür gibt es eine eigene Anlage.

---

Teil B: Fragebogen

Auszufüllen vom Anbieter. Je Position ist die Antwort einzutragen und der genannte Nachweis beizufügen. Positionen ohne Nachweis gelten als offen.

Block 1: Wer ist beteiligt

1.1 Rolle des Vertragspartners

Frage. Verarbeitet der Anbieter die Daten ausschließlich weisungsgebunden im Auftrag, oder verarbeitet er Teile davon zu eigenen Zwecken, etwa zur Verbesserung des Dienstes, zur Statistik oder zur Sicherheit?

Warum das zählt. Die Rolle ist keine Bezeichnung, sondern eine Folge der Entscheidung über Zwecke und Mittel. Wer über einen Zweck selbst entscheidet, ist für diesen Zweck Verantwortlicher und nicht Auftragsverarbeiter, und zwar unabhängig davon, was der Vertrag ihn nennt. Das kirchliche Recht zieht daraus eine ausdrückliche Folge: Ein Auftragsverarbeiter, der unter Verstoß gegen das Gesetz die Zwecke und Mittel der Verarbeitung bestimmt, gilt insoweit als Verantwortlicher (§ 29 Abs. 10 KDG).

Belastbare Antwort. Eine Aufzählung aller Zwecke, zu denen der Anbieter Ein- und Ausgabedaten außerhalb der Erbringung der beauftragten Leistung verwendet, mit der Angabe, ob diese Verwendung abschaltbar ist.

Nachweis. Vertragstext und Leistungsbeschreibung, nicht die Datenschutzerklärung der Webseite.

Fundstelle. § 29 Abs. 1 und Abs. 10 KDG; § 30 Abs. 1 und Abs. 4 DSG-EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

1.2 Bauform der Modellanbindung

Frage. Wird das Modell vom Anbieter selbst betrieben, von einer Plattform als Dienst bezogen, oder wird die Anfrage an die Schnittstelle des Modellanbieters weitergereicht?

Warum das zählt. Die Bauform bestimmt die Länge der Kette und den Ort der Berechnung. Sie ist die einzige Angabe, aus der sich ableiten lässt, welche der folgenden Fragen überhaupt beantwortbar sind. Bei Bauform 2 und 3 kann der Anbieter den Verarbeitungsort nicht aus eigener Kenntnis zusagen, sondern nur aus der Einstellung, die er bei seinem Vorlieferanten gewählt hat.

Belastbare Antwort. Die Angabe der Bauform je eingesetztem Modell, einschließlich der Modelle für Nebenfunktionen: Spracherkennung, Texterkennung, Übersetzung, Einbettung für die Suche, Neuordnung von Suchtreffern.

Nachweis. Architekturübersicht mit Benennung der Vorlieferanten je Funktion.

Fundstelle. § 29 Abs. 3 lit. c KDG (Art und Zweck der Verarbeitung); § 30 Abs. 3 Satz 2 Nr. 2 DSG-EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

1.3 Vollständige Liste der weiteren Auftragsverarbeiter

Frage. Welche weiteren Auftragsverarbeiter sind beteiligt, mit welchem Zweck, an welchem Ort und in welchem Verhältnis zueinander?

Warum das zählt. Die Liste ist die Anlage, ohne die der Vertrag unvollständig ist. Der Mustervertrag, den die Datenschutzaufsicht der EKD zusammen mit Vertretern der Gliedkirchen herausgibt, sieht dafür eine abschließende Aufzählung vor: Der Auftragsverarbeiter erbringt die aufgeführten Leistungen „ausschließlich durch folgende Unterauftragnehmer”. Ein Verweis auf eine Webseite, die der Anbieter einseitig ändern kann, ist keine solche Aufzählung.

Belastbare Antwort. Eine Tabelle mit Firma, Sitz, Verarbeitungszweck und Verarbeitungsort, als Anlage zum Vertrag, mit Datum und Fassungsstand. Aufzunehmen sind auch die Betreiber der Rechenzentren und die Plattform, auf der die Berechnung läuft.

Nachweis. Unterschriebene Anlage zum Vertrag. Zusätzlich auf Verlangen die Verträge mit den Unterauftragnehmern in Kopie; ausgehandelte Preise dürfen darin geschwärzt sein.

Fundstelle. § 29 Abs. 2 und Abs. 5 KDG; § 30 Abs. 3 Satz 2 Nr. 6 DSG-EKD, § 6 des Mustervertrags des Beauftragten für den Datenschutz der EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

1.4 Abgrenzung der Nebenleistungen

Frage. Welche Leistungen Dritter behandelt der Anbieter als Nebenleistung und damit nicht als Unterauftragsverhältnis?

Warum das zählt. Die Abgrenzung ist zulässig und üblich: Telekommunikation, Reinigung und Wirtschaftsprüfung gelten nicht als Unterauftrag. Die Abgrenzung wird aber falsch, wenn ein Dienst darunter fällt, der die Inhalte tatsächlich sieht. Ein Filter- oder Klassifizierungsdienst, der jede Eingabe zu lesen bekommt, ist keine Nebenleistung, auch wenn er technisch als Zusatzfunktion eingekauft wird.

Belastbare Antwort. Aufzählung der als Nebenleistung eingeordneten Dienste mit der Angabe, ob dabei ein Zugriff auf Inhalte personenbezogener Daten möglich ist.

Nachweis. Vertragsklausel mit Aufzählung, nicht mit Beispielen.

Fundstelle. § 29 Abs. 5 KDG; § 6 Abs. 4 des Mustervertrags des Beauftragten für den Datenschutz der EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

Block 2: Wo verarbeitet wird

2.1 Speicherort und Verarbeitungsort getrennt

Frage. An welchem Ort liegen die Daten im Ruhezustand, und an welchem Ort wird die einzelne Anfrage berechnet? Sind beide Angaben identisch?

Warum das zählt. Dies ist die Position, an der die meisten Auskünfte auseinanderfallen. Die Dokumentation großer Plattformen trennt beides ausdrücklich: Die Daten im Ruhezustand verbleiben in der gewählten Region, während die Berechnung je nach Bereitstellungsart in jeder Region erfolgen kann. Eine Zusage über den Serverstandort beantwortet die zweite Frage nicht.

Belastbare Antwort. Zwei getrennte Angaben, je Funktion. Eine einzige Ortsangabe für den gesamten Dienst ist ein Anzeichen dafür, dass die Frage nicht verstanden oder nicht geprüft wurde.

Nachweis. Angabe der gebuchten Bereitstellungsart beim Vorlieferanten, mit Bezeichnung.

Fundstelle. § 29 Abs. 3 und Abs. 4 lit. a KDG; § 30 Abs. 3 Satz 2 Nr. 2 DSG-EKD; für die Aufnahme in das Verzeichnis § 31 Abs. 1 lit. f KDG. Für Dienste, die nicht bereits geprüft und freigegeben sind, benennt § 18 Abs. 2 KDG-DVO zwei Risikoaspekte, die vor der Nutzung zu bewerten sind und genau diese Position betreffen: „Unkenntnis über den Speicherort der Informationen” (lit. g) und „hohe Mobilität der Informationen” (lit. h).

Antwort: ______________________________________________ ☐ Nachweis liegt vor

2.2 Vertragliche Festlegung der Bereitstellungsart

Frage. Ist die Bereitstellungsart, die den Verarbeitungsort bestimmt, vertraglich festgelegt, oder kann der Anbieter sie ohne Zustimmung ändern?

Warum das zählt. Die Bereitstellungsart ist eine Einstellung, keine Eigenschaft. Sie lässt sich in wenigen Minuten ändern, und die kostengünstigere Einstellung ist regelmäßig die mit dem weiteren Verarbeitungsgebiet. Eine Zusage zum Verarbeitungsort, die nicht zugleich die Einstellung bindet, ist eine Momentaufnahme.

Belastbare Antwort. Eine Klausel, die die Bereitstellungsart benennt und ihre Änderung an die Zustimmung der Einrichtung bindet.

Nachweis. Vertragsklausel. Zusätzlich die Angabe, ob der Anbieter die Einstellung technisch erzwingt, etwa durch eine Richtlinie im Konto des Vorlieferanten.

Fundstelle. § 29 Abs. 4 lit. a KDG (Verarbeitung nur auf dokumentierte Weisung, auch in Bezug auf die Übermittlung in ein Drittland); § 30 Abs. 4 DSG-EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

2.3 Reichweite der zugesagten Zone

Frage. Welche Länder umfasst die zugesagte Zone genau, und ist diese Aufzählung abschließend?

Warum das zählt. „Europäische Union” und die Zonen, die Plattformen unter europäischen Namen führen, sind nicht dasselbe. Die Datengrenze, auf die sich eine große Plattform beruft, umfasst neben den EU-Staaten ausdrücklich auch die Staaten der Europäischen Freihandels assoziation, also Island, Liechtenstein, Norwegen und die Schweiz, und nennt die Schweiz auch als Standort genutzter Rechenzentren. Nach beiden kirchlichen Gesetzen ist die Schweiz ein Drittland: katholisch als Land außerhalb der Union und des Europäischen Wirtschaftsraums (§ 4 Nr. 18 KDG), evangelisch als Staat, in dem die Datenschutz-Grundverordnung keine Anwendung findet (§ 4 Nr. 18 DSG-EKD). Für die Schweiz besteht ein Angemessenheitsbeschluss der Kommission, die Übermittlung ist also zulässig. Sie bleibt aber eine Drittlandübermittlung, die in das Verzeichnis und in die Information der betroffenen Personen gehört. Wer sie nicht kennt, führt sie auch nicht auf.

Belastbare Antwort. Abschließende Länderliste der Zone, mit dem Hinweis, ob der Anbieter oder sein Vorlieferant sich vorbehält, weitere Länder aufzunehmen.

Nachweis. Dokumentation des Vorlieferanten mit Datum des Abrufs, nicht eine mündliche Auskunft.

Fundstelle. §§ 39, 40 KDG, § 31 Abs. 1 lit. f KDG; § 10 Abs. 1 DSG-EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

2.4 Nachweis des tatsächlichen Verarbeitungsorts im Betrieb

Frage. Lässt sich für eine einzelne Anfrage nachträglich feststellen, in welcher Region sie berechnet wurde? Erhält die Einrichtung Zugang zu dieser Angabe?

Warum das zählt. Dies ist der Unterschied zwischen einer Zusage und einem Nachweis. Mindestens eine große Plattform schreibt die tatsächliche Verarbeitungsregion in ein auswertbares Feld ihrer Betriebsprotokolle. Wo eine solche Angabe existiert, ist die Frage nach dem Verarbeitungsort nachprüfbar und muss nicht geglaubt werden. Wo sie nicht existiert, ist das offen auszuweisen.

Belastbare Antwort. Benennung des Protokollfeldes oder der Auswertung, mit einem Beispiel aus dem laufenden Betrieb, und die Angabe, wie die Einrichtung sie erhält.

Nachweis. Beispielauswertung über einen realen Zeitraum, nicht eine Beschreibung der Möglichkeit.

Fundstelle. § 6 Abs. 2 lit. e KDG-DVO: Es muss überprüft und festgestellt werden können, an welche Stellen eine Übermittlung erfolgt (Weitergabekontrolle); § 29 Abs. 4 lit. h KDG (Nachweis- und Überprüfungspflicht); § 30 Abs. 3 Sätze 3 und 4 DSG-EKD (Überzeugungspflicht und Dokumentation).

Antwort: ______________________________________________ ☐ Nachweis liegt vor

2.5 Ausweichverarbeitung bei Störung und Auslastung

Frage. Wohin wird ausgewichen, wenn die vorgesehene Region gestört oder ausgelastet ist?

Warum das zählt. Die Zusage gilt dem Regelbetrieb. Der Störungsfall ist der Fall, für den die Zusage nicht geschrieben wurde, und er ist zugleich der Fall, in dem eine automatische Umleitung den zugesagten Raum verlassen kann. Diese Frage wird selten gestellt und fast nie von selbst beantwortet.

Belastbare Antwort. Angabe der Ausweichregionen, der auslösenden Bedingung und der Frage, ob die Einrichtung davon erfährt.

Nachweis. Betriebskonzept oder Klausel zur Verfügbarkeit, mit Benennung der Regionen.

Fundstelle. § 26 Abs. 1 lit. c KDG (Wiederherstellung nach einem Zwischenfall) in Verbindung mit § 29 Abs. 4 lit. c KDG; § 27 DSG-EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

Block 3: Was neben der Antwort entsteht

3.1 Aufbewahrung zur Missbrauchserkennung

Frage. Werden Ein- und Ausgaben zur Erkennung missbräuchlicher Nutzung gespeichert? Wenn ja: wo, wie lange, wer sieht sie, und lässt sich die Speicherung abschalten?

Warum das zählt. Diese Speicherung ist die häufigste Kopie, von der die Einrichtung nichts weiß. Sie entsteht nicht aus dem Vertrag, sondern aus den Betriebsregeln der Plattform, und sie schließt in der Dokumentation großer Anbieter die Prüfung durch Menschen ausdrücklich ein. Für kirchliche Bestände ist das die entscheidende Frage: Ein Verfahren, in dem Seelsorge-, Personal- oder Klientendaten in die Sichtung durch fremde Beschäftigte geraten können, ist ohne diese Auskunft nicht bewertbar. Wichtig ist der Ort: Die Aufbewahrung folgt der Berechnung, nicht dem Vertrag. Wird eine Anfrage in einer anderen Region berechnet, entsteht die Aufbewahrung dort.

Belastbare Antwort. Angabe der Speicherdauer, des Speicherorts, des Kreises der Zugreifenden und des Verfahrens, mit dem eine geänderte Überwachung beantragt werden kann.

Nachweis. Dokumentation des Anbieters oder seines Vorlieferanten und, falls beantragt, der Bescheid über die geänderte Überwachung.

Fundstelle. § 29 Abs. 4 lit. a KDG (Verarbeitung nur auf dokumentierte Weisung); § 27 Abs. 2 KDG und § 28 Abs. 2 DSG-EKD (datenschutzfreundliche Voreinstellungen, ausdrücklich zu Speicherfrist und Zugänglichkeit).

Antwort: ______________________________________________ ☐ Nachweis liegt vor

3.2 Betriebsprotokolle und Telemetrie

Frage. Welche Protokolle entstehen beim Anbieter und bei seinen Vorlieferanten, welche personenbezogenen Daten enthalten sie, wie lange werden sie aufbewahrt, und wer greift darauf zu?

Warum das zählt. Betriebsprotokolle sind notwendig und deshalb kein Mangel. Ein Mangel ist es, wenn sie in der Auskunft fehlen, denn sie sind regelmäßig der einzige Bestand, der einen Fernzugriff aus einem Drittland rechtfertigt. Zu unterscheiden ist, ob die Protokolle pseudonymisiert oder im Klartext geführt werden; Pseudonymisierung ist eine Maßnahme, keine Anonymisierung, und hebt den Personenbezug nicht auf.

Belastbare Antwort. Aufstellung der Protokollarten mit Aufbewahrungsfrist und Zugriffskreis, getrennt nach Anbieter und Vorlieferant.

Nachweis. Protokollkonzept oder entsprechender Abschnitt der Sicherheitsdokumentation.

Fundstelle. § 26 KDG; § 6 Abs. 2 lit. f KDG-DVO (Eingabekontrolle, mindestens sechs Monate) und lit. e Satz 2 (Protokollierung einer Weitergabe außerhalb der vorgesehenen Datenübertragung); § 27 DSG-EKD in Verbindung mit der ITSVO-EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

3.3 Verwendung für Training und Verbesserung

Frage. Werden Ein- oder Ausgabedaten für das Training oder die Verbesserung von Modellen verwendet, beim Anbieter oder bei einem Vorlieferanten? Ist der Ausschluss vertraglich zugesagt?

Warum das zählt. Der Ausschluss steht häufig im Werbematerial und selten im Vertrag, und er muss die gesamte Kette erfassen. Ein Anbieter, der selbst nicht trainiert, aber an einen Modellanbieter weiterreicht, dessen Bedingungen das Training zulassen, hat den Ausschluss nicht zugesagt, sondern nur für sich erklärt. Die Aufsichtsbehörden verlangen ausdrücklich, dass geprüft wird, ob Ein- und Ausgabedaten für das Training verwendet werden, und dass die Einstellungen gegebenenfalls so gewählt werden, dass dies ausgeschlossen ist.

Belastbare Antwort. Vertragliche Zusage mit Geltung für alle Beteiligten der Kette, nicht eine Erklärung im Hilfebereich.

Nachweis. Vertragsklausel und die entsprechende Klausel im Vertrag mit dem Vorlieferanten.

Fundstelle. § 29 Abs. 4 lit. a und Abs. 5 KDG; § 30 Abs. 4 DSG-EKD; Orientierungshilfe der Datenschutzkonferenz zu Künstlicher Intelligenz und Datenschutz, Randnummer 24.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

3.4 Fernzugriff aus Drittländern zur Wartung und zum Support

Frage. Greifen Beschäftigte des Anbieters oder seiner Vorlieferanten von außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums auf Systeme oder Daten zu, und auf welcher Grundlage?

Warum das zählt. Der Fernzugriff ist eine Übermittlung, auch wenn nichts kopiert wird. Er ist zugleich der Punkt, an dem eine sonst saubere Kette ein Drittland enthält, ohne dass in der Architekturübersicht ein Drittland vorkommt. Im evangelischen Recht ist die Wartung ausdrücklich erfasst: Die Vorschriften über die Auftragsverarbeitung gelten entsprechend, wenn die Prüfung oder Wartung durch andere Stellen erfolgt und ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann (§ 30 Abs. 6 DSG-EKD).

Belastbare Antwort. Angabe der Länder, der Anlässe, der Freigabeverfahren und der Frage, ob Zugriffe protokolliert und der Einrichtung zugänglich gemacht werden.

Nachweis. Verfahrensbeschreibung für den Support und Beispielprotokoll.

Fundstelle. §§ 39 bis 41 KDG; § 10 und § 30 Abs. 6 DSG-EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

Block 4: Wenn sich die Kette ändert

4.1 Art der Genehmigung

Frage. Wird die Hinzuziehung weiterer Auftragsverarbeiter gesondert genehmigt, oder liegt eine allgemeine Genehmigung vor? Wie ist das im Vertrag formuliert?

Warum das zählt. Katholisch gilt der Vorbehalt kraft Gesetzes, gesondert oder allgemein und in beiden Fällen schriftlich. Evangelisch gilt er nur, soweit er im Auftrag festgelegt ist. Die Folge für die Praxis ist unterschiedlich: Eine katholische Einrichtung, deren Vertrag zum Thema schweigt, hat trotzdem den gesetzlichen Vorbehalt und kann sich darauf berufen. Eine evangelische Einrichtung, deren Vertrag zum Thema schweigt, hat nichts in der Hand, weshalb der Mustervertrag der EKD-Datenschutzaufsicht die abschließende Liste und die vorherige Zustimmung in Textform ausdrücklich vorsieht.

Belastbare Antwort. Angabe, welche Form gewählt wurde, mit Verweis auf die Klausel.

Nachweis. Vertragsklausel im Wortlaut.

Fundstelle. § 29 Abs. 2 Satz 1 und Abs. 9 KDG (Schriftform); § 30 Abs. 3 Satz 2 Nr. 6 DSG-EKD (Textform), § 6 Abs. 3 des Mustervertrags des Beauftragten für den Datenschutz der EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

4.2 Information und Einspruch bei einem Wechsel

Frage. Wie und mit welcher Vorlaufzeit wird über die Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters informiert, und wie wird ein Einspruch erhoben?

Warum das zählt. Bei einer allgemeinen Genehmigung ersetzt die Information den Vorbehalt. Sie ist deshalb nur dann etwas wert, wenn sie die Einrichtung erreicht und wenn die Frist ausreicht, um zu prüfen und zu widersprechen. Eine Benachrichtigung, die nur als Änderung einer Webseite stattfindet, erreicht niemanden. Zu vereinbaren ist ein benannter Empfänger in der Einrichtung und eine Frist in Tagen.

Belastbare Antwort. Kanal, Empfänger, Frist, Form des Einspruchs.

Nachweis. Vertragsklausel. Zusätzlich: Wurde in den letzten zwölf Monaten eine solche Information versandt, und wie sah sie aus?

Fundstelle. § 29 Abs. 2 Satz 2 KDG; vertraglich im evangelischen Bereich.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

4.3 Änderungen, die keine Änderung der Unterauftragnehmer sind

Frage. Welche Änderungen an der Verarbeitungskette kann der Anbieter oder sein Vorlieferant vornehmen, ohne dass dies als Wechsel eines weiteren Auftragsverarbeiters gilt?

Warum das zählt. Dies ist die Lücke, durch die der Verarbeitungsort verrutscht, ohne dass eine Informationspflicht ausgelöst wird. Ein Plattformbetreiber kann die Aufzählung der Regionen erweitern, die zu einer Zone gehören, oder eine Ausweichregion hinzufügen. In der Dokumentation einer großen Plattform steht dieser Vorbehalt ausdrücklich und ohne vorherige Ankündigung. Der Kreis der Unterauftragnehmer ändert sich dadurch nicht, der Ort der Verarbeitung schon. Wer nur nach Unterauftragnehmern fragt, erfährt davon nichts.

Belastbare Antwort. Aufzählung der Änderungsarten, die der Anbieter für zustimmungsfrei hält, mit der Zusage, über Änderungen der Regionenliste ebenso zu informieren wie über einen Wechsel des Unterauftragnehmers.

Nachweis. Vertragsklausel, die den Verarbeitungsort und nicht nur die Person des Unterauftragnehmers bindet.

Fundstelle. § 29 Abs. 4 lit. a KDG in Verbindung mit § 39 KDG; § 10 Abs. 1 DSG-EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

4.4 Folge eines Einspruchs

Frage. Was geschieht, wenn die Einrichtung einer Änderung widerspricht?

Warum das zählt. Ein Einspruchsrecht ohne Folge ist eine Anhörung. Nur wenn der Einrichtung für diesen Fall ein Kündigungsrecht ohne Kosten und mit geordneter Rückgabe der Daten zusteht, ist der Vorbehalt durchsetzbar. Der Mustervertrag der EKD-Datenschutzaufsicht regelt den Fall der unterbliebenen Zustimmung ausdrücklich und knüpft daran ein Recht zur außerordentlichen Kündigung.

Belastbare Antwort. Klausel mit Kündigungsrecht, Frist, Kostenfolge und Herausgabe der Daten in einem gängigen Format.

Nachweis. Vertragsklausel. Abgleich mit der vereinbarten Exit-Regelung.

Fundstelle. § 29 Abs. 4 lit. g KDG (Löschung oder Rückgabe nach Beendigung); § 30 Abs. 3 Satz 2 Nr. 10 DSG-EKD; § 18 Abs. 3 KDG-DVO (Exit-Strategie vor der Nutzung).

Antwort: ______________________________________________ ☐ Nachweis liegt vor

Block 5: Drittland

5.1 Benennung jedes Drittlands je Empfänger

Frage. In welche Länder außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums werden Daten übermittelt oder von dort aus zugänglich gemacht, an welchen Empfänger und zu welchem Zweck?

Warum das zählt. Die Angabe wird für das Verzeichnis der Verarbeitungstätigkeiten und für die Information der betroffenen Personen gebraucht, und sie wird je Empfänger gebraucht, nicht als Gesamtaussage. Erfasst sind auch die Fälle, in denen nichts kopiert, sondern nur zugegriffen wird, und die Fälle, in denen eine Nebenspeicherung in einer anderen Region entsteht.

Belastbare Antwort. Tabelle mit Empfänger, Land, Zweck, Art der Daten.

Nachweis. Anlage zum Vertrag, abgestimmt mit der Liste aus Position 1.3.

Fundstelle. § 31 Abs. 1 lit. f KDG (Verzeichnis), § 15 Abs. 1 lit. c und Abs. 2 KDG (Auskunft über Empfänger in Drittländern und über die Garantien); § 10 DSG-EKD, § 31 Abs. 1 Nr. 5 und 6 DSG-EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

5.2 Übermittlungsinstrument je Empfänger

Frage. Auf welches Instrument stützt sich jede einzelne dieser Übermittlungen?

Warum das zählt. Hier trennen sich die Rechtskreise. Katholisch genügen neben einem Angemessenheitsbeschluss allgemein „geeignete Garantien” nebst durchsetzbaren Rechten und wirksamen Rechtsbehelfen; die Aufzählung ist offen. Evangelisch ist sie geschlossen: zulässig sind nur ein Angemessenheitsbeschluss der Kommission oder Standarddatenschutzklauseln, die die Kommission erlassen oder genehmigt hat. Ein Empfänger, der sich auf verbindliche interne Datenschutzvorschriften oder ein anderes Instrument stützt, ist damit für eine evangelische Einrichtung nicht gedeckt, für eine katholische unter Umständen schon. Die Frage ist deshalb je Rechtskreis verschieden zu beantworten und nicht pauschal.

Belastbare Antwort. Je Empfänger die Angabe des Instruments, bei Standardklauseln mit Modul, Fassung und Datum der Unterzeichnung.

Nachweis. Unterzeichnete Klauseln in Kopie, nicht ein Verweis auf die Vertragsbedingungen des Vorlieferanten.

Fundstelle. §§ 39, 40 Abs. 1 und 2, 41 KDG; § 10 Abs. 1 Nr. 1 und 2 DSG-EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

5.3 Behördliche Zugriffsverlangen

Frage. Wie verfährt der Anbieter, wenn eine staatliche Stelle Zugriff auf die Daten verlangt, und wird die Einrichtung darüber unterrichtet?

Warum das zählt. Diese Position gehört nicht in die Rubrik der politischen Bewertung, sondern in die Rubrik der Weisungsbindung. Der Auftragsverarbeiter darf nur auf dokumentierte Weisung verarbeiten, und wo eine Rechtsvorschrift ihn zu etwas anderem verpflichtet, muss er das vor der Verarbeitung mitteilen. Diese Mitteilungspflicht ist gesetzlich geregelt und bildet den praktischen Kern der Frage.

Belastbare Antwort. Verfahrensbeschreibung mit Angabe, in welchen Fällen eine Unterrichtung unterbleibt und warum.

Nachweis. Klausel plus, soweit vorhanden, der Transparenzbericht des Anbieters.

Fundstelle. § 29 Abs. 4 lit. a KDG: Der Auftragsverarbeiter teilt rechtliche Anforderungen, die ihn zu einer Verarbeitung außerhalb der Weisung verpflichten, vor der Verarbeitung mit, sofern das betreffende Recht die Mitteilung nicht verbietet. Evangelisch gibt es diese ausdrückliche Mitteilungspflicht nicht; dort trägt die Weisungsbindung des § 30 Abs. 4 Satz 1 DSG-EKD, weshalb die Unterrichtung vertraglich zu vereinbaren ist.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

Block 6: Nachweis und Kontrolle

6.1 Prüfrechte über die gesamte Kette

Frage. Erstrecken sich die Prüf- und Kontrollrechte der Einrichtung auch auf die weiteren Auftragsverarbeiter, und wie werden sie praktisch ausgeübt?

Warum das zählt. Ein Prüfrecht, das beim Vertragspartner endet, endet vor der Stelle, an der die Berechnung stattfindet. Katholisch schuldet der Auftragsverarbeiter alle erforderlichen Informationen zum Nachweis und hat Überprüfungen einschließlich Inspektionen zu ermöglichen und dazu beizutragen. Evangelisch sagt die Erläuterung zum Mustervertrag der Datenschutzaufsicht ausdrücklich, dass sich die Kontrolle auch auf Unterauftragnehmer zu erstrecken hat.

Belastbare Antwort. Klausel mit Durchgriff auf die Kette, Angabe der Ankündigungsfrist und der zulässigen Prüfformen.

Nachweis. Vertragsklausel und die entsprechende Klausel im Vertrag mit dem Vorlieferanten.

Fundstelle. § 29 Abs. 4 lit. h und Abs. 5 KDG; § 30 Abs. 3 Satz 2 Nr. 7 DSG-EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

6.2 Geltungsbereich vorgelegter Zertifikate und Berichte

Frage. Welchen Geltungsbereich haben die vorgelegten Zertifikate und Prüfberichte genau, und decken sie den beauftragten Dienst und die beteiligten Vorlieferanten ab?

Warum das zählt. Zertifikate und Prüfberichte werden regelmäßig für ein Rechenzentrum, ein Managementsystem oder eine Produktlinie ausgestellt und dann für den gesamten Dienst vorgelegt. Zu lesen ist der Geltungsbereich, nicht das Deckblatt. Hinzu kommt eine Feinheit des katholischen Rechts, die in der Praxis oft übersehen wird. Für die Überprüfung der eigenen Maßnahmen lässt § 7 Abs. 2 KDG-DVO ausdrücklich die Orientierung an Veröffentlichungen des Bundesamtes für Sicherheit in der Informationstechnik und an vergleichbaren Regelungen zu, insbesondere an ISO/IEC 27001. Für den Verzicht auf die Überprüfung der Maßnahmen des Auftragsverarbeiters verweist § 15 Abs. 5 Satz 2 KDG-DVO dagegen auf ein anerkanntes Zertifikat gemäß § 29 Abs. 6 KDG, und das sind genehmigte Verhaltensregeln oder ein genehmigtes Zertifizierungsverfahren nach europäischem Recht. Die beiden Vorschriften lassen also Verschiedenes zu. Ein Prüfbericht nach einem allgemeinen Sicherheitsstandard ist ein Nachweis, aber kein Grund, die Prüfung des Auftragsverarbeiters entfallen zu lassen.

Belastbare Antwort. Kopie der Geltungsbereichserklärung, nicht die Angabe des Zertifikatsnamens.

Nachweis. Zertifikat oder Bericht mit Geltungsbereich und Gültigkeitsdauer.

Fundstelle. § 29 Abs. 6 KDG, § 15 Abs. 5 Satz 2 KDG-DVO; § 30 Abs. 8 DSG-EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

6.3 Erstkontrolle und Wiederholung

Frage. Wann findet die erste Kontrolle statt, in welchem Abstand wird sie wiederholt, und wie wird das Ergebnis festgehalten?

Warum das zählt. Beide Rechtskreise verlangen eine wiederkehrende, dokumentierte Kontrolle, setzen aber verschiedene Marken. Evangelisch liegt die Marke am Anfang: vor Beginn der Datenverarbeitung und sodann regelmäßig, mit dokumentiertem Ergebnis. Katholisch liegt sie im Intervall: regelmäßig, mindestens jedoch alle zwei Jahre, ebenfalls dokumentiert. Wer beides zusammen liest, kommt auf eine Erstkontrolle vor dem Beginn und eine Wiederholung spätestens nach zwei Jahren, und das ist eine Formulierung, die in beiden Rechtskreisen trägt.

Belastbare Antwort. Termin der Erstkontrolle, Intervall, Form der Dokumentation, Benennung der prüfenden Person.

Nachweis. Kontrollplan mit Datum, Ergebnisvermerk der letzten Kontrolle.

Fundstelle. § 15 Abs. 5 Satz 1 KDG-DVO, § 7 KDG-DVO; § 30 Abs. 3 Sätze 3 und 4 DSG-EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

6.4 Löschung entlang der gesamten Kette

Frage. Wie wird sichergestellt, dass nach Beendigung des Auftrags auch bei den weiteren Auftragsverarbeitern gelöscht wird, und wie wird das nachgewiesen?

Warum das zählt. Die Löschung ist die Pflicht, die am weitesten von der Wahrnehmung der Einrichtung entfernt liegt, und sie betrifft Bestände, an die bei Vertragsschluss niemand denkt: Zwischenspeicher, Suchindex, Sicherungen, Nebenspeicherung zur Missbrauchserkennung. Ohne Benennung der Bestände ist eine Löschzusage eine Absichtserklärung.

Belastbare Antwort. Aufstellung der zu löschenden Bestände je Beteiligtem, mit Frist und Form des Nachweises.

Nachweis. Löschkonzept und Muster der Löschbestätigung, einschließlich der Unterauftragnehmer.

Fundstelle. § 29 Abs. 4 lit. g und Abs. 5 KDG; § 30 Abs. 3 Satz 2 Nr. 10 DSG-EKD.

Antwort: ______________________________________________ ☐ Nachweis liegt vor

---

Teil C: Abschluss

Einrichtung	______________________________________________
Dienst und Anbieter	______________________________________________
Ausgefüllt vom Anbieter am	______________________________________________
Geprüft für die Einrichtung von	______________________________________________
Datum der Prüfung	______________________________________________
Positionen mit Nachweis	______ von 24
Offene Positionen	______________________________________________

Ergebnis der Prüfung.

☐ Die Kette ist vollständig benannt und belegt. Der Fragebogen wird als Anlage zum Vertrag genommen.

☐ Die Kette ist im Wesentlichen benannt. Die offenen Positionen sind vor dem Vertragsschluss zu klären.

☐ Die Kette ist nicht belegt. Eine Bewertung des Verfahrens ist auf dieser Grundlage nicht möglich.

Bemerkungen: ___________________________________________________________________

---

Unterschrift für die Einrichtung: ____________________________________

---

Teil D: Was bei dieser Prüfung erfahrungsgemäß schiefgeht

Die Ortsfrage wird einmal gestellt und einmal beantwortet. Speicherort, Verarbeitungsort und Ort der Nebenspeicherung sind drei Fragen. Wer eine stellt, bekommt eine Antwort und hält sie für drei.

Der Vertragspartner antwortet für die ganze Kette. Er kann das nur, soweit er es mit seinen Vorlieferanten vereinbart hat. Die Gegenprobe ist einfach: Zu jeder Zusage, die den Vorlieferanten betrifft, gehört die entsprechende Klausel aus dem Vertrag mit dem Vorlieferanten.

Die Liste der Unterauftragnehmer wird als Webseite geliefert. Eine Seite, die der Anbieter einseitig ändern kann, ist keine Vertragsanlage. Sie kann in Bezug genommen werden, aber nur zusammen mit dem Stand, auf den sich die Einrichtung eingelassen hat.

Das Zertifikat wird ohne Geltungsbereich vorgelegt. Der Geltungsbereich ist der Teil, der die Frage beantwortet. Die Vorlage eines Zertifikats ohne ihn ist keine Auskunft.

Die Missbrauchserkennung fällt durch das Raster. Sie steht in keinem Vertrag und in keinem Datenblatt, sondern in der Betriebsdokumentation der Plattform. Sie ist trotzdem eine Verarbeitung im Verantwortungsbereich der Einrichtung.

Der Fernzugriff des Supports wird vergessen. Er ist die häufigste Drittlandübermittlung in sonst sauberen Ketten, und er ist auch dann eine, wenn dabei nichts kopiert wird.

---

Teil E: Grenze dieses Fragebogens und Quellen

Grenze

Dieser Fragebogen ist an den Vorschriften geprüft, nicht an einem Produkt. Er sagt, welche Fragen zu stellen sind und woran sich die Antwort überprüfen lässt. Er trifft keine Aussage über einzelne Anbieter und enthält keine Bewertung eines Angebots.

Drei Einschränkungen sind offen zu benennen.

Erstens hängt der Wert mehrerer Positionen davon ab, dass der Anbieter über seine Vorlieferanten Auskunft geben darf und kann. Wo er das nicht kann, ist die Position offen und nicht erfüllt. Das ist eine Feststellung über die Kette und kein Mangel des Fragebogens.

Zweitens ändern sich die Angebotsformen der Plattformen schneller als jedes Formular. Die in Teil A beschriebenen Bauformen und die in Block 2 abgefragten Unterscheidungen sind stabil, die Bezeichnungen der Bereitstellungsarten sind es nicht. Gefragt wird deshalb nach der Eigenschaft, nicht nach dem Produktnamen.

Drittens ist die KDG-DVO durch Beschluss der Vollversammlung des Verbandes der Diözesen Deutschlands vom 24. November 2025 geändert worden. Ob und wann die Änderungen in das eigene Diözesanrecht übernommen wurden, ist im Amtsblatt des eigenen Bistums zu prüfen. Die Konferenz der Diözesandatenschutzbeauftragten hat in ihrer Arbeitshilfe vom Februar 2026 festgehalten, dass für die Auftragsverarbeitung die bestehenden Regelungen unverändert gelten.

Quellen

• Gesetz über den Kirchlichen Datenschutz (KDG), Lesefassung des Verbandes der Diözesen Deutschlands: §§ 4 Nr. 18, 26, 29, 31, 39 bis 41.
• Durchführungsverordnung zum KDG (KDG-DVO), Fassung des Beschlusses vom 19. November 2018, geändert durch Beschluss vom 24. November 2025: §§ 6, 7, 15, 18.
• Kirchengesetz über den Datenschutz der EKD (DSG-EKD), Fassung der Bekanntmachung vom 15. Januar 2025: §§ 4 Nr. 18, 10, 27, 30, 31.
• Verordnung zur Sicherheit der Informationstechnik (ITSVO-EKD) vom 29. Mai 2015.
• Vertrag zur Auftragsverarbeitung, Version 3.0 (2025), herausgegeben vom Beauftragten für den Datenschutz der EKD gemeinsam mit Vertreterinnen und Vertretern der Gliedkirchen: § 6 und die zugehörigen Erläuterungen.
• Arbeitshilfe zur Umsetzung der KDG-Novelle, Konferenz der Diözesandatenschutzbeauftragten der Katholischen Kirche Deutschlands, Stand Februar 2026.
• Orientierungshilfe Künstliche Intelligenz und Datenschutz, Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, 6. Mai 2024.
• Produktdokumentation der Plattformbetreiber zu Bereitstellungsarten, zur Weiterleitung von Anfragen über Regionen hinweg und zur Aufbewahrung von Ein- und Ausgaben zur Missbrauchserkennung. Die vollständigen Fundstellen mit Abrufdatum stehen in der zugehörigen Ausgabe auf kirchliche-ki.de.

Alle kirchenrechtlichen Vorschriften wurden am 17. September 2026 an der jeweiligen Primärquelle geprüft.