Für Kitas in katholischer Trägerschaft gilt das Gesetz über den Kirchlichen Datenschutz (KDG), für evangelische und diakonische Träger das Datenschutzgesetz der EKD (DSG-EKD). Beide treten an die Stelle der DSGVO; Art. 91 DSGVO erlaubt den Kirchen eigene Regeln. Inhaltlich sind sie der DSGVO nah. An einigen Stellen verlangen sie mehr, etwa bei der Form des Vertrags mit dem Software-Anbieter und bei den Mindestmaßnahmen für Geräte. Wer KI-Funktionen einführt, prüft zusätzlich Datenflüsse, Folgenabschätzung und Mitbestimmung.
Dieser Beitrag ist eine Orientierung und keine Rechtsberatung. Maßgeblich sind die Gesetze in der Fassung Ihres Bistums oder Ihrer Landeskirche und die Auskunft Ihrer Datenschutzaufsicht.
Welches Gesetz für Ihre Kita gilt
Katholische Träger arbeiten nach dem KDG und seiner Durchführungsverordnung (KDG-DVO). Zuständig ist die Datenschutzaufsicht Ihres Bistums. Evangelische Träger arbeiten nach dem DSG-EKD und dem Recht ihrer Landeskirche; zuständig ist die kirchliche Aufsichtsbehörde für den Datenschutz. Diakonische Werke und Einrichtungen, die der Kirche zugeordnet sind, fallen in der Regel ebenfalls darunter.
Ihr Software-Anbieter ist in der Regel keine kirchliche Stelle. Für ihn bleibt die DSGVO maßgeblich. Der Vertrag zwischen Ihnen muss deshalb beide Seiten abbilden: die Pflichten des Anbieters nach der DSGVO und Ihre Pflichten nach dem Kirchenrecht.
Die KDG-Novelle 2026
Das überarbeitete KDG und die neue KDG-DVO gelten seit dem 1. März 2026 in allen Bistümern. Für Kitas sind vor allem diese Änderungen wichtig:
- Einwilligungen müssen nicht mehr schriftlich erteilt werden. Sie müssen nachweisbar sein (§ 8 Abs. 1 KDG). Eine bestätigte E-Mail oder eine protokollierte Bestätigung in einer App reicht damit aus, wenn Zweck und Widerrufsrecht klar benannt sind.
- Auf das Datengeheimnis werden auch ehrenamtlich Tätige verpflichtet (§ 5 Abs. 2 KDG). Das betrifft zum Beispiel Elternbeiräte, die Zugang zu Listen haben.
- Mitarbeitende sind regelmäßig zu schulen (§ 2 Abs. 7 KDG-DVO).
- Der Vertrag über die Auftragsverarbeitung bedarf der Schriftform. Für ihren Ersatz durch die elektronische Form oder die Textform verweist § 29 Abs. 9 KDG auf die staatlichen Regelungen.
Der Vertrag mit dem Software-Anbieter
Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist die Grundlage. Für kirchliche Träger kommen Ergänzungen hinzu.
Katholische Träger vereinbaren mit Anbietern, die nicht unter das KDG fallen, neben der DSGVO die Anwendung des KDG (§ 22 Abs. 1 KDG-DVO). Die technischen und organisatorischen Maßnahmen des Anbieters prüfen sie mindestens alle zwei Jahre und dokumentieren das (§ 15 Abs. 5 KDG-DVO). Legt der Anbieter ein anerkanntes Zertifikat vor, kann die Prüfung entfallen.
Evangelische Träger erteilen den Auftrag in Textform (§ 30 Abs. 3 DSG-EKD). Ist der Anbieter keine kirchliche Stelle, darf sich der Vertrag an Art. 28 DSGVO orientieren (§ 30 Abs. 5 DSG-EKD). Vor Beginn und danach regelmäßig überzeugen Sie sich von den Maßnahmen des Anbieters und halten das Ergebnis fest. Manche Landeskirchen verlangen vorab eine Genehmigung oder eine eigene Mustervereinbarung (§ 30 Abs. 7 DSG-EKD). Fragen Sie das vor der Einführung bei Ihrer Landeskirche nach.
Datenschutzklassen, Geräte und E-Mail
Die KDG-DVO teilt Daten in drei Datenschutzklassen ein. Die Einordnung nimmt der Träger vor. Ohne Einordnung gilt automatisch die höchste Klasse III (§ 9 Abs. 5 KDG-DVO). In Klasse III fallen insbesondere Gesundheitsdaten, also auch Krankmeldungen des Personals und Allergien von Kindern.
Daraus folgen Mindestmaßnahmen, die in Kitas oft übersehen werden:
- Daten der Klasse III dürfen auf Tablets und Handys nur verschlüsselt gespeichert werden (§ 13 Abs. 2 KDG-DVO). Prüfen Sie, was eine App auf dem Gerät ablegt, und schalten Sie die Geräteverschlüsselung mit einer Bildschirmsperre ein.
- Bei Zugriff von außerhalb gesicherter Netze ist eine Anmeldung mit zweitem Faktor vorzusehen (§ 11 Abs. 2 KDG-DVO). Eine webbasierte Kita-Software wird über das Internet genutzt, der Fall trifft also fast immer zu.
- E-Mails mit Daten der Klassen II und III verschicken Sie nur verschlüsselt (§ 26 KDG-DVO). Eine Krankmeldung gehört deshalb nicht in eine normale E-Mail.
- Wer welche Daten sieht, legen Sie fest. Gründe für Abwesenheiten von Mitarbeitenden gehören in den Verwaltungsbereich der Leitung und nicht auf ein Tablet im Gruppenraum.
IT-Sicherheit und private Geräte bei evangelischen Trägern
Für evangelische und diakonische Träger gilt zusätzlich die IT-Sicherheitsverordnung der EKD (ITSVO-EKD). Sie verlangt ein IT-Sicherheitskonzept, das sich am IT-Grundschutz des BSI oder einem vergleichbaren Standard orientiert und fortgeschrieben wird (§ 1 ITSVO-EKD). Die Verantwortung trägt das Leitungsorgan des Trägers. Eine webbasierte Kita-Software gehört mit in dieses Konzept; lassen Sie sich vom Anbieter beschreiben, welche Maßnahmen er für seinen Teil trifft.
Für die Arbeit soll dienstliche IT genutzt werden. Private Handys dürfen Sie zulassen, wenn Sie mit den Mitarbeitenden eine Vereinbarung schließen (§ 2 Abs. 2 ITSVO-EKD). Darin regeln Sie die Rechtsgrundlage, die Anwendung des kirchlichen Datenschutzrechts, die Maßnahmen und Verantwortlichkeiten sowie den Ausschluss der Haftung des Dienstgebers für Schäden auf dem privaten Gerät. Wird die IT-Sicherheit gefährdet, ist die Zulassung zu widerrufen. Die Gesetze in der Fassung Ihrer Landeskirche können Einzelheiten ergänzen.
KI-Funktionen in der Kita
KI-Funktionen schreiben Elternbriefe vor, übersetzen Nachrichten, fassen Tagesberichte zusammen oder schlagen einen Dienstplan vor. Für kirchliche Träger gelten dafür dieselben Gesetze wie für jede andere Verarbeitung. Diese Punkte sollten Sie vor dem Einschalten klären:
- Zweck und Rechtsgrundlage
Schreiben Sie für jede KI-Funktion auf, wofür Sie sie nutzen und auf welcher Grundlage (§ 6 KDG bzw. § 6 DSG-EKD). Für Gesundheitsangaben brauchen Sie zusätzlich eine Grundlage nach § 11 KDG bzw. § 13 DSG-EKD. Eine Funktion, die Sie nicht brauchen, schalten Sie ab. - Anbieter und Datenfluss
Der KI-Dienst ist ein weiterer Auftragsverarbeiter und gehört in den Vertrag. Klären Sie, wo die Daten verarbeitet werden. Das DSG-EKD erlaubt eine Übermittlung in Drittländer nur mit Angemessenheitsbeschluss der EU-Kommission oder mit Standardvertragsklauseln (§ 10 DSG-EKD); das KDG verlangt einen Angemessenheitsbeschluss oder geeignete Garantien (§ 40 KDG). Lassen Sie sich bestätigen, dass Ihre Daten nicht zum Training von KI-Modellen verwendet werden. - Datenschutz-Folgenabschätzung
KDG und DSG-EKD nennen neue Technologien ausdrücklich als Anlass (§ 35 KDG, § 34 DSG-EKD). Pflicht ist die Abschätzung insbesondere bei umfangreicher Verarbeitung von Gesundheitsdaten und anderen besonderen Kategorien. Holen Sie dabei den Rat Ihrer oder Ihres Datenschutzbeauftragten ein. - Entscheidungen trifft ein Mensch
Eine KI darf Texte und Pläne vorschlagen. Über Kinder und Mitarbeitende entscheidet eine Person, die den Vorschlag prüft (§ 24 KDG, § 25a DSG-EKD). Das gilt besonders für Beobachtungen zur Entwicklung eines Kindes und für alles, was Arbeitszeit oder Leistung bewertet. - Freie Texte und Namen
Die meisten Risiken entstehen in freien Texten: Wer schnell tippt, schreibt Diagnosen oder Familienangelegenheiten hinein. Gut ist, wenn die Software Namen vor der KI durch Kennzeichen ersetzt und Texte vor dem Senden auf Gesundheitsangaben prüft. Die Regel für das Team bleibt: keine Gesundheitsdaten in Chats und Notizen. - KI-Kompetenz und Schulung
Seit dem 2. Februar 2025 müssen Einrichtungen, die KI-Systeme einsetzen, für ausreichende KI-Kompetenz ihrer Mitarbeitenden sorgen (Art. 4 KI-Verordnung). Für katholische Träger kommt die Schulungspflicht der KDG-DVO hinzu. Eine kurze Einweisung pro Funktion, mit Beispielen für erlaubte und verbotene Eingaben, deckt beides ab. - Mitarbeitervertretung
Funktionen, die geeignet sind, Verhalten oder Leistung zu überwachen, brauchen die Zustimmung der Mitarbeitervertretung (§ 36 Abs. 1 Nr. 9 MAVO; im evangelischen Bereich die Mitbestimmung nach dem MVG-EKD). Dazu zählen KI-Auswertungen von Arbeitszeiten, Anwesenheit oder Dienstplänen. Beziehen Sie die MAV früh ein und halten Sie die Regeln in einer Dienstvereinbarung fest. - Information von Eltern und Team
Eltern und Mitarbeitende erfahren vor dem Einsatz, welche KI-Funktionen laufen, wofür und bei welchem Anbieter (§ 15 KDG, § 17 DSG-EKD). Nennen Sie dabei die zuständige kirchliche Datenschutzaufsicht als Beschwerdestelle.
Wie Bienenstock kirchliche Träger unterstützt
Der Auftragsverarbeitungsvertrag von Bienenstock enthält eine eigene Anlage 3 für kirchliche Träger. Darin stehen die Ergänzungen für KDG und DSG-EKD, die Form des Vertrags und eine Zuordnung unserer Maßnahmen zu den Schutzniveaus der KDG-DVO, die Sie als Nachweis ablegen können. Für die Information der Eltern gibt es eine Ergänzung zum Ausfüllen, getrennt für katholische und evangelische Träger, unter Rechtliche Dokumente.
Für evangelische und diakonische Träger steht in Anlage 3 zusätzlich eine Zuordnung zur ITSVO-EKD, einschließlich der Option, die Personal-App auf privaten Telefonen zu nutzen.
Die KI-Funktionen sind einzeln abschaltbar, und der Träger kann sie für alle Einrichtungen sperren oder begrenzen. Sie laufen auf einem EU-Endpunkt; nur die optionale Bild-Erzeugung nutzt einen globalen Endpunkt und erhält keine personenbezogenen Daten. Je nach gewählter Stufe ersetzt die Software Namen durch Kennzeichen, bevor ein Text an die KI geht. Daten werden nicht zum Training verwendet. Der KI-Datenwächter prüft Nachrichten vor dem Versand auf Gesundheitsangaben und andere schutzwürdige Inhalte. Gründe für Abwesenheiten anderer Mitarbeitender zeigen Tablets und Personal-App nicht.
Mehr zu Datenschutz in Kita-Apps allgemein: Datenschutz bei Kita-Apps und Datenschutz in der KiTa.
Häufige Fragen
Gilt die DSGVO für Kitas in kirchlicher Trägerschaft?
Für den Träger gilt statt der DSGVO das KDG oder das DSG-EKD. Der Software-Anbieter bleibt an die DSGVO gebunden, wenn er keine kirchliche Stelle ist.
Dürfen kirchliche Kitas KI-Funktionen nutzen?
Ja, mit Rechtsgrundlage, Vertrag, geprüftem Datenfluss und, bei hohem Risiko, einer Datenschutz-Folgenabschätzung. Entscheidungen über Menschen trifft eine Person.
Braucht eine kirchliche Kita für KI eine Datenschutz-Folgenabschätzung?
Oft ja, vor allem wenn Gesundheitsdaten in größerem Umfang verarbeitet werden. Die Abschätzung macht der Träger zusammen mit seiner oder seinem Datenschutzbeauftragten.
Muss der Auftragsverarbeitungsvertrag unterschrieben werden?
Das DSG-EKD verlangt Textform. Das KDG verlangt seit 2026 die Schriftform und verweist für deren Ersatz auf die staatlichen Regelungen. Bienenstock schließt elektronisch ab und schickt katholischen Trägern auf Anforderung zwei Ausfertigungen auf Papier zur Unterschrift.
Quellen
Bienenstock in der Google-Suche bevorzugt sehen: